Taiwan Selidiki Kontrak Perangkat Lunak Kedutaan Senilai NT$20 Juta Terkait Dugaan Kode Asal China

Penggeledahan Dilakukan Setelah Ditemukannya Tanda Tangan Perusahaan China

Jaksa Taiwan mengarahkan penggeledahan di 10 lokasi pada 12 Oktober 2026 dalam penyelidikan atas perangkat lunak pengelolaan aset informasi yang dipasang di sejumlah perwakilan diplomatik di luar negeri. Kasus ini menyangkut kontrak pemerintah senilai lebih dari NT$20 juta yang diberikan antara 2023 dan 2025, serta dugaan bahwa perangkat lunak yang memuat kode sumber dari China dikemas ulang di Taiwan sebelum dipasok ke Kementerian Luar Negeri.

Empat orang dimintai keterangan sebagai tersangka: pimpinan Anhe Technology bermarga Lu; pimpinan Kunyou Technology bermarga Chiang; seorang perwakilan penjualan Kunyou bermarga Chan; serta pimpinan Yiwei Technology bermarga Wu. Penyidik juga memanggil beberapa saksi. Penggeledahan mencakup kantor perusahaan dan tempat tinggal yang terkait dengan para tersangka.

Keterangan kementerian menyebut temuan teknis spesifik yang melatarbelakangi penyelidikan. Dalam pemeriksaan keamanan pada Desember 2025, sejumlah berkas di dalam perangkat lunak diketahui memuat tanda tangan milik Guangzhou Yixin Technology Co. dari China. Kementerian kemudian melaporkan perkara tersebut kepada penyidik dan menyerahkan program terkait untuk diperiksa.

Kementerian menyatakan perangkat lunak tersebut dipasang pada komputer yang terhubung ke internet di perwakilan luar negeri untuk pengelolaan aset dan tidak melibatkan informasi sensitif. Kementerian juga menyebut peninjauan catatan koneksi selama setahun sebelumnya tidak menemukan aktivitas koneksi yang tidak wajar di kementerian maupun kantor-kantornya di luar negeri.

Pernyataan tersebut membedakan dugaan pelanggaran pengadaan dari kebocoran keamanan yang telah terkonfirmasi. Penyidik memeriksa bagaimana perangkat lunak itu dikembangkan, dipresentasikan, dan dipasok. Keterangan yang tersedia untuk publik tidak membuktikan bahwa perangkat lunak tersebut mencuri informasi diplomatik, dan ditemukannya tanda tangan perusahaan China saja tidak membuktikan adanya aktivitas berbahaya.

Dugaan Peran Tiga Perusahaan dalam Memasok Perangkat Lunak

Penyelidikan berpusat pada IP-guard, yang disebut sebagai sistem keamanan endpoint dan enkripsi berkas. Endpoint adalah komputer atau perangkat lain yang terhubung ke jaringan organisasi. Perangkat lunak semacam ini dapat membantu mengelola aktivitas komputer dan melindungi berkas, sehingga asal-usul dan kemampuan sebenarnya relevan dalam peninjauan keamanan.

Penyidik menduga Lu, pimpinan Anhe Technology, sebelumnya bekerja sama dengan Guangzhou Yixin Technology untuk mengembangkan IP-guard dan bahwa kode sumbernya berasal dari China. Kode sumber adalah sekumpulan instruksi yang digunakan untuk membuat program. Asal-usul kode berbeda dari lokasi perusahaan yang menjual atau memelihara produk jadi.

Anhe diduga mengemas ulang perangkat lunak tersebut di Taiwan, sementara Kunyou mengajukan penawaran atas namanya sendiri dan memperoleh kontrak pengelolaan aset informasi kementerian untuk periode 2023 hingga 2025. Yiwei diduga membantu mengubah antarmuka pengguna dan menyediakan layanan pemeliharaan. Semua itu masih merupakan dugaan yang sedang diselidiki, bukan putusan bersalah.

Dugaan pembagian kerja tersebut menempatkan tiga kegiatan terpisah dalam penyelidikan: asal-usul perangkat lunak, cara perangkat lunak itu disajikan dalam tender pemerintah, serta perubahan dan dukungan yang diberikan setelah pengadaan. Perubahan antarmuka memengaruhi apa yang dilihat pengguna, tetapi tidak dengan sendirinya membuktikan di mana program dasarnya dikembangkan.

Anhe disebut menyediakan layanan keamanan endpoint dan enkripsi dokumen, dengan pengalaman lebih dari 10 tahun dalam pelaksanaan proyek. Gambaran bisnis tersebut membantu menjelaskan perannya dalam rantai pasok, tetapi tidak membuktikan apakah pembelian kementerian memenuhi persyaratan pengadaan.

Temuan Kementerian dalam Pemeriksaan

Kementerian menyatakan temuan itu muncul ketika tim pemeriksaan keamanan siber antarlembaga mengunjungi perwakilan di luar negeri pada Desember 2025. Dalam pemeriksaan tersebut, kementerian menemukan berkas yang tidak biasa di perangkat lunak pengelolaan aset, dan analisis mendapati tanda tangan yang terkait dengan Guangzhou Yixin Technology.

Tanda tangan perangkat lunak dapat membantu mengidentifikasi perusahaan yang terkait dengan suatu berkas. Namun, tanda tangan bukan pengganti pemeriksaan menyeluruh terhadap kode sumber program atau seluruh fungsi yang dijalankannya. Perbedaan ini penting: keterangan penyelidikan menyebut dugaan kode sumber dari China, sedangkan temuan yang dinyatakan kementerian adalah bahwa sejumlah berkas memuat tanda tangan perusahaan China.

Kementerian menyatakan telah memberi tahu otoritas pengawasnya dan pihak yang bertanggung jawab atas keamanan siber setelah temuan tersebut. Kementerian juga menyerahkan program terkait kepada Kantor Lapangan New Taipei City, Biro Investigasi Kementerian Kehakiman, serta badan penyidik lainnya.

Menurut kementerian, pembelian dilakukan melalui kontrak pasokan umum pemerintah. Pengaturan semacam ini memungkinkan instansi membeli melalui kerangka pengadaan yang telah ditetapkan. Penggunaan jalur tersebut menjelaskan cara pembelian dilakukan, tetapi tidak memastikan apakah vendor menjelaskan perangkat lunak yang dipasok secara akurat.

Dari Kontrak hingga Penggeledahan Oktober

Rangkaian peristiwa ini berlangsung selama beberapa tahun, dimulai dari kontrak dan berlanjut ke pemeriksaan keamanan serta penyelidikan pidana. Pemeriksaan pada Desember merujuk pada 2025, setahun sebelum penggeledahan pada Oktober 2026.

• 2023 hingga 2025: Perusahaan-perusahaan tersebut diduga memperoleh kontrak perangkat lunak kementerian dengan nilai gabungan lebih dari NT$20 juta.
• Desember 2025: Pemeriksaan keamanan di perwakilan luar negeri menemukan berkas perangkat lunak yang memuat tanda tangan Guangzhou Yixin Technology.
• Setelah temuan: Kementerian memberi tahu otoritas terkait, meninjau catatan koneksi, dan menyerahkan program untuk diselidiki.
• 12 Oktober 2026: Jaksa mengarahkan penggeledahan di 10 lokasi dan pemeriksaan terhadap empat tersangka; beberapa saksi juga dipanggil.
• Malam itu: Para tersangka sedang dibawa ke hadapan jaksa untuk dimintai keterangan lebih lanjut.

Kantor Kejaksaan Distrik Taipei mengarahkan penyelidikan, sementara Kantor Lapangan New Taipei City Biro Investigasi melakukan pekerjaan penyidikan. Kementerian awalnya melaporkan dugaan penyimpangan kepada kantor lapangan tersebut, yang kemudian meminta arahan dari jaksa.

Dugaan tindak pidana mencakup pelanggaran Undang-Undang Pengadaan Pemerintah, penipuan, dan pemalsuan dokumen berdasarkan Kitab Undang-Undang Hukum Pidana. Dasar penyelidikan ini mencakup lebih dari sekadar pertanyaan teknis mengenai asal perangkat lunak. Penyidik juga memeriksa apakah proses penawaran dan kontrak melibatkan keterangan atau dokumen yang melanggar hukum.

Pemeriksaan yang dilaporkan tidak membuktikan bahwa siapa pun telah didakwa atau dinyatakan bersalah. Keterangan mengenai penggeledahan tidak menyebut keputusan jaksa selanjutnya, hasil penahanan, ataupun putusan pengadilan. Keterangan itu juga tidak mencantumkan tanggal sidang atau publikasi hasil pemeriksaan teknis yang telah selesai.

Hal yang Dapat dan Tidak Dapat Dibuktikan oleh Peninjauan Koneksi

Jaminan terkuat yang disampaikan kementerian kepada publik adalah bahwa pihaknya memeriksa catatan koneksi selama setahun dan tidak menemukan perilaku koneksi yang tidak wajar. Kementerian juga menyebut perangkat lunak pengelolaan aset itu tidak melibatkan informasi sensitif dan dipasang pada komputer yang digunakan untuk mengakses internet di perwakilan luar negeri.

Pernyataan tersebut mempersempit gambaran paparan yang dilaporkan, tetapi tidak menjawab semua pertanyaan tentang perangkat lunak itu. Peninjauan log koneksi memeriksa aktivitas jaringan yang tercatat. Peninjauan itu belum tentu merupakan penilaian menyeluruh atas izin program, akses lokal ke berkas, konfigurasi, atau perilakunya selama seluruh masa kontrak.

Rentang waktu juga relevan. Periode pengadaan berlangsung dari 2023 hingga 2025, sedangkan kementerian menyebut peninjauan catatan koneksi selama sekitar satu tahun. Keterangan yang tersedia untuk publik tidak merinci tanggal yang dicakup peninjauan itu atau memastikan bahwa peninjauan mencakup seluruh pemasangan selama tiga tahun tersebut.

Keterangan tersebut tidak mengungkap jumlah pasti perwakilan atau komputer yang terdampak. Tidak ada pula temuan yang menyatakan perangkat lunak memuat pintu belakang, mengirimkan informasi ke China, atau digunakan untuk memperoleh rahasia diplomatik. Kemungkinan-kemungkinan itu tidak boleh disajikan sebagai peristiwa yang telah terbukti.

Anggota Parlemen Mendorong Pemeriksaan yang Lebih Luas

Anggota parlemen Kuomintang Huang Chien-pin meminta pemeriksaan atas penyaringan pengadaan dan inspeksi keamanan internal kementerian. Ia mempertanyakan bagaimana perangkat lunak yang diduga mengandung kode China dapat masuk ke sistem kementerian dan tetap digunakan selama masa kontrak sebelum masalah itu terdeteksi.

Huang meminta pemeriksaan untuk mengetahui apakah perangkat lunak tersebut memiliki fungsi pemantauan jarak jauh, akses data, atau transmisi data, serta apakah informasi sensitif telah dicuri atau diungkapkan. Ia juga mendesak kementerian memublikasikan temuan, cakupan paparan jika ada, dan langkah perbaikan yang telah diambil.

Permintaan tersebut menyangkut kemampuan perangkat lunak maupun perilaku yang teramati. Program mungkin memiliki fungsi yang tidak digunakan, dinonaktifkan, atau dibatasi oleh konfigurasinya. Menentukan apa yang dapat dilakukan program merupakan tugas yang berbeda dari menentukan apa yang benar-benar dilakukannya pada komputer yang terdampak.

Anggota parlemen Kuomintang Niu Hsu-ting juga menyerukan pertanggungjawaban, ganti rugi berdasarkan hukum, dan perubahan dalam peninjauan tender berikutnya. Ia mengatakan kementerian telah mengeluarkan lebih dari NT$100 juta untuk membangun jaringan internal internasional guna melindungi dokumen rahasia penting, tetapi tetap menghadapi kontroversi keamanan.

Kedua angka tersebut merujuk pada tujuan yang berbeda. Lebih dari NT$20 juta yang menjadi pokok penyelidikan ini terkait dengan kontrak perangkat lunak pengelolaan aset. Angka lebih dari NT$100 juta yang disebut Niu berkaitan dengan jaringan internal yang lebih luas. Keduanya tidak dapat dianggap sebagai satu anggaran proyek atau digunakan untuk menghitung porsi belanja yang disengketakan untuk perangkat lunak tersebut.

Kebocoran Dokumen Terpisah Menambah Tekanan

Penyelidikan perangkat lunak ini berlangsung di tengah kontroversi lain terkait dokumen diplomatik yang ditawarkan untuk dijual di web gelap. Sebuah laporan penyelidikan Yuan Kontrol disebut mengidentifikasi 13 dokumen Kementerian Luar Negeri yang bocor. Niu mengutip insiden tersebut saat berpendapat bahwa kementerian perlu menyelesaikan masalah keamanan yang berulang.

Kebocoran dokumen dan penyelidikan perangkat lunak harus tetap dibedakan. Keterangan tentang kasus ini tidak membuktikan adanya hubungan antara 13 dokumen yang bocor dan IP-guard. Pernyataan kementerian bahwa pemasangan perangkat lunak pengelolaan aset tidak melibatkan informasi sensitif juga berbeda dari perkara kebocoran dokumen tersebut.

Kedua kontroversi itu menjelaskan tekanan agar kementerian memberikan keterangan yang lebih lengkap kepada publik, tetapi tidak membuktikan adanya penyebab yang sama. Untuk memastikan apakah salah satu insiden disebabkan perilaku perangkat lunak, kontrol akses, keputusan pengadaan, atau kegagalan lain, diperlukan bukti spesifik terkait insiden tersebut.

Kementerian menyatakan akan bekerja sama dalam penyelidikan dan meminta vendor bertanggung jawab sesuai kontrak jika pelanggaran hukum terbukti. Sikap tersebut menjadikan tindakan kontraktual bergantung pada hasil penyelidikan, bukan mengumumkan bahwa pelanggaran kontrak telah terbukti.

Hal-Hal yang Masih Harus Dipastikan

Persoalan utama yang belum terjawab adalah apa yang dinyatakan vendor selama proses pengadaan, perangkat lunak apa yang sebenarnya dipasok, dan apakah asal-usul atau fungsinya melanggar persyaratan yang berlaku. Keterangan publik menyebut dugaan tindak pidana, tetapi tidak memuat persyaratan tender, pernyataan vendor, atau dokumen tertentu yang diduga palsu.

Dalam keterangan yang beredar juga terdapat perbedaan penulisan nama. Uraian penyelidikan menyebut perusahaan peserta tender sebagai Kunyou Technology dengan nama China 坤侑科技, sedangkan keterangan pengadaan dari kementerian menyebut 坤佑科技. Keduanya muncul dalam keterangan mengenai pemasok, tetapi perbedaan ejaan itu perlu diperiksa berdasarkan kontrak sebenarnya dan tidak boleh dianggap sebagai bukti bahwa keduanya adalah perusahaan yang berbeda.

Nilai gabungan kontrak yang dilaporkan adalah lebih dari NT$20 juta, bukan angka pasti yang telah dipublikasikan. Keterangan tersebut tidak merinci nilai setiap kontrak, tanggal pemasangan di tiap perwakilan, atau daftar kantor luar negeri yang terlibat. Keterangan itu juga tidak menyebut apakah perangkat lunak tersebut telah dihapus, diganti, atau dibatasi.

Temuan penting berikutnya adalah hasil penilaian teknis atas program tersebut dan keputusan jaksa terkait dugaan tindak pidana pengadaan. Belum ada tenggat publikasi atau tanggal sidang berikutnya yang diumumkan. Sebelum temuan itu dipastikan, kasus ini paling tepat dipahami sebagai penyelidikan pidana pengadaan yang dipicu kekhawatiran terkonfirmasi mengenai asal-usul perangkat lunak, tanpa bukti publik bahwa program tersebut menyebabkan kebocoran data.

Poin-Poin Utama

• Jaksa mengarahkan penggeledahan di 10 lokasi dan pemeriksaan terhadap empat tersangka pada 12 Oktober 2026.
• Penyelidikan ini menyangkut kontrak perangkat lunak senilai lebih dari NT$20 juta yang diberikan antara 2023 dan 2025.
• Kementerian mengonfirmasi bahwa sejumlah berkas perangkat lunak memuat tanda tangan Guangzhou Yixin Technology.
• Penyidik menduga kode sumber dari China dikemas ulang melalui rantai pasok yang melibatkan tiga perusahaan Taiwan.
• Kementerian menyatakan peninjauan catatan koneksi selama satu tahun tidak menemukan aktivitas yang tidak wajar dan pemasangan perangkat lunak itu tidak melibatkan informasi sensitif.
• Pelanggaran pengadaan, penipuan, dan pemalsuan dokumen sedang diselidiki; kesalahan pidana maupun kebocoran data terkait perangkat lunak belum terbukti.
• Temuan terpisah mengenai 13 dokumen diplomatik yang bocor belum dikaitkan dengan kasus perangkat lunak ini.