Tile Tracker dan Bahaya Stalker: Analisis Kerentanan Bluetooth Tracker yang Masih Diremehkan 2026

Pernah gak iseng mikir: "tracker sekecil koin yang ditempel di kunci ini, bisa gak ngasih tau posisi ke orang lain?" Kalau pake Tile jawabannya baru-baru ini dijawab tuntas sama riset akademik beneran. Bulan September 2025, tim peneliti dari Georgia Institute of Technology ngerilis analisis keamanan pertama yang menyeluruh soal protokol pelacakan Tile. Hasilnya bukan cuma "ada celah kecil", tapi serangkaian temuan yang bikin mikir ulang soal semua perangkat IoT mungil di sekitar kita: server Tile bisa terus-menerus tahu lokasi semua user, orang asing bisa melacak pengguna lewat sinyal Bluetooth yang gak dienkripsi, dan fitur anti-stalking-nya sengaja dilemahkan biar fitur anti-theft-nya tetap jalan.

Pernah Gak Iseng Nanya: "Tracker Ini Ngirim Data ke Siapa Aja?"

Di sini bakal dapet: cara kerja Tile, temuan risetnya, modus stalker, cara deteksi, langkah forensik, plus konteks hukum di Indonesia — semua fakta diverifikasi dari sumber aslinya.

Cerita Rina: Notifikasi Tengah Malam yang Bikin Panik

Cerita ini bermula dari telepon jam 2 pagi. Seorang teman, sebut aja Rina, nelpon sambil agak terisak: dia baru liat notifikasi dari aplikasi Tile — tracker miliknya terdaftar di akun orang lain di kota berbeda. Awalnya dia pikir salah login. Beberapa menit investigasi, ketahuan: tracker di tas kerjanya — yang dia pikir cuma alat biar gak lupa bawa tas — udah di-claim ulang oleh orang yang gak dikenal. Posisi tas ikut kebaca orang itu, dan Rina gak pernah nyadar kapan trackernya pindah tangan. Untungnya dia gak dibuntuti beneran — tapi rasa takut di tengah malam itu nyata. Kita gak pernah tau siapa yang "nempel" di balik perangkat kecil yang kita bawa tiap hari.

Cara Kerja Tile: BLE + Jaringan Crowd-Sourced

Biar paham masalahnya, kita harus ngerti dulu gimana Tile bekerja. Tile itu Bluetooth Low Energy (BLE) tracker: dia gak punya GPS sendiri, gak punya koneksi internet sendiri. Yang dia lakuin cuma satu hal — broadcast sinyal BLE berisi identitasnya secara terus-menerus. Gambaran kasar payload-nya kira-kira gini:

# Contoh payload BLE advertisement (ilustratif, bukan dump asli Tile)
# Format: panjang + tipe AD + data
02 01 06                    # Flags: LE General Discoverable
1A FF 4C 00 0215 ...        # iBeacon (kalau pake format iBeacon)
03 03 16 D1 1E ...          # Service UUID 16-bit

Gimana posisinya ketahuan? Ini bagian genius sekaligus menyeramkan: jaringan crowd-sourced. Setiap HP yang install aplikasi Tile dan lewat di dekat tracker — walaupun pemiliknya bukan pemilik tracker dan gak kenal pemiliknya — otomatis nyomot sinyal itu dan ngirim ke server Tile. Server lalu ngitung perkiraan lokasi tracker berdasarkan posisi HP si pembawa.

Riset Georgia Tech: Analisis Keamanan Pertama yang Beneran

Selama bertahun-tahun, Tile — yang sekarang dimiliki Life360 — gak pernah nerbitin dokumentasi formal soal protokol atau model ancaman (threat model) mereka. Padahal mereka punya jutaan user dan perangkat aktif, dan posisi mereka di ranking layanan pelacakan crowd-sourced nomor dua terbesar di dunia, di belakang AirTag-nya Apple. Celah pengetahuan ini yang coba ditutup oleh paper "Security and Privacy Analysis of Tile's Location Tracking Protocol" (arXiv:2510.00350) dari Akshaya Kumar, Anna Raymaker, dan Michael A. Specter, terbit 30 September 2025.

Ini bukan review jurnalistik — ini analisis teknis protokol yang ngebongkar desain keamanan Tile dari dalam, termasuk mekanisme akuntabilitas yang mereka klaim sebagai pengganti keamanan. Hasilnya: keamanan Tile jauh di bawah standar yang layak buat perangkat pelacakan pribadi.

Temuan Kunci: Server Tile Bisa Lihat Lokasi Semua User

Tiga temuan utama dari paper itu yang wajib diketahui:

1. Server Tile bisa terus-menerus belajar lokasi semua user dan semua tag. Ini bukan soal satu tag yang "bocor" — secara desain, backend Tile punya gambaran lengkap soal di mana aja tag-tag itu berada dan siapa yang bawa. Kalau server diretas, atau ada pihak internal yang nakal, datanya udah di sana.
2. Adversary yang gak punya privilege apa pun bisa melacak user lewat sinyal Bluetooth. Advertisement BLE dari perangkat Tile gak dienkripsi. Artinya siapa pun dengan receiver BLE murah — bahkan receiver pasif yang cuma dengerin — bisa ngikutin pergerakan tag (dan orang yang bawa tag itu) tanpa login, tanpa akses khusus, tanpa ketauan.
3. Mode anti-theft gampang disubvert. Fitur yang dibuat buat ngelindungin barang dari pencurian ternyata punya celah yang bikin pelindung itu sendiri bisa dimanipulasi.

Yang lebih meresahkan: Tile juga gak nyediain deskripsi formal soal protokol atau threat model mereka — padahal ini perangkat yang dipake jutaan orang buat ngasih tahu posisi barang (dan kadang orang) mereka.

"Sengaja" Dilemahkan: Trade-off Anti-Stalking vs Anti-Theft

Ini bagian paling penting dan paling sering salah dipahami — termasuk di artikel lama yang nulis kalau kelemahan Tile cuma "kurang matang". Riset Georgia Tech nemu yang sebaliknya: Tile sengaja melemahkan fitur anti-stalking-nya demi anti-theft. Kalau anti-stalking terlalu agresif, pencuri yang nyolong barang ber-Tile bakal susah dilacak dan fitur anti-theft-nya jadi gak berguna — jadi mereka milih melemahkan perlindungan buat korban stalking.

Konsekuensinya nyata: notifikasi ke pemilik lama saat tag di-repair oleh orang lain bisa tertunda atau gak muncul — persis skenario Rina di atas. Alih-alih notifikasi instan, Tile mengandalkan mekanisme "akuntabilitas" (accountability) buat menghukum penyalahgunaan, tapi paper itu nemu mekanisme ini implementasinya bisa disubvert.

Liputan Malwarebytes (30 September 2025, Pieter Arntz) merangkumnya lugas: peneliti nemu "beberapa masalah keamanan di tracker Tile milik Life360, yang sebagian besar bisa diselesaikan dengan enkripsi". Masalah terbesarnya bukan teknologi canggih, tapi keputusan desain yang gak memprioritaskan privasi.

Modus Serangan Stalker yang Didokumentasikan

Dari analisis protokol di paper, ada beberapa pola serangan yang didokumentasikan secara teknis. Yang paling relevan buat konteks Indonesia:

1. Snatch and register. Stalker ngambil tracker korban (misalnya dari tas atau kunci yang gak dijaga), daftarin ke akun mereka sendiri, terus naruh lagi di tempat semula. Kalau notifikasi ke pemilik lama lemah — persis yang ditemuin riset — korban gak bakal sadar sampai terlambat.
2. Pre-registration dengan akses fisik terbatas. Stalker beli tracker, daftarin ke akun mereka, terus titip diam-diam di barang korban (kolong jok mobil, dalam tas, jahitan jaket). Dari situ mereka bisa pantau pergerakan korban secara real-time lewat jaringan crowd-sourced — selama tracker-nya tetep deket korban.
3. Network poisoning. Attacker naro receiver BLE palsu di lokasi yang sering dikunjungi. Receiver itu nangkep identitas tracker di sekitar dan bisa bikin "lokasi hantu" atau ngumpulin pola kehadiran di titik itu.

Penting dicatat: ini bukan cerita horor karangan — ini konsekuensi logis dari protokol yang dibedah riset, ditambah dokumentasi penyalahgunaan tracker BLE yang udah banyak dibahas komunitas keamanan. Di Indonesia ancamannya makin nyata: sebagian besar pengguna Android non-Samsung gak otomatis nge-scan BLE tracker di sekitar mereka.

AirTag vs SmartTag 2 vs Tile: Perbandingan

Perbandingan tiga tracker BLE paling populer, sesuai temuan riset 2025:

Fitur	Apple AirTag	Samsung SmartTag 2	Tile (2025)
Anti-stalking alert ke device sekitar	Ya, otomatis (iOS)	Ya, ke perangkat Samsung	Tidak otomatis, perlu app Tile
Notifikasi ke pemilik lama saat di-repair	Real-time	Real-time	Tertunda / dipertanyakan (temuan riset 2025)
Buzzer anti-stalking	Ya, aktif 8-24 jam setelah terpisah	Ya	Tidak ada
Precision Finding	Ya (UWB)	Tidak	Tidak
Ukuran jaringan pelacak	Sangat besar (1 miliar+ device Apple)	Besar (ekosistem Samsung)	Lebih kecil, butuh install app

Semakin besar jaringan, semakin akurat pelacakan — dan semakin berbahaya kalau anti-stalking-nya lemah. AirTag sempat kena kritik keras di 2022-2023 sebelum Apple nge-patch alert-nya jauh lebih agresif; Tile, menurut riset ini, jalan sebaliknya.

Deteksi: Cara Cek Apakah Lagi Di-track

Kabar baiknya, ada cara gratis dan resmi: Android 14 ke atas punya fitur bawaan yang nge-scan tracker BLE di sekitar:

Settings > Safety & emergency > Unknown tracker alerts
  → Scan sekarang (cek sekali)
  → Izinkan alert otomatis (biar rutin)

Fitur ini bisa ngedeteksi AirTag dan Tile yang kebawa orang lain di deket — selama tracker itu udah lama terpisah dari pemiliknya dan dianggap "mengikuti". Buat pengguna iPhone, iOS punya proteksi otomatis buat AirTag; buat Tile perlu install app Tile resmi dan aktifin scan manual — karena Tile gak ngirim alert otomatis ke perangkat sekitar.

Satu catatan penting: fitur deteksi ini gak 100%. Tracker yang baru aja di-repair, atau yang ada di dalam tas yang dibawa, kadang gak ke-detect karena sinyalnya keblokir. Jadi deteksi software cuma setengah dari pertarungan.

Scanner Manual & RF Tools buat yang Paranoia

Buat yang paranoia level "mau mastiin sendiri" — respect banget — bisa pake scanner BLE manual. Aplikasi kayak nRF Connect (dari Nordic Semiconductor) atau Bluetooth Scanner nge-list semua perangkat BLE yang broadcast di sekitar, termasuk yang gak dikenal:

1. Install nRF Connect dari Play Store / App Store
2. Buka tab Scanner
3. Aktifkan Bluetooth di HP
4. Tekan Play untuk mulai scan
5. Perhatiin device dengan nama mencurigakan atau signal kuat
   yang gak dikenal (Tile default broadcast dengan nama "Tile" + kode)

Kelemahan scanner manual: harus lagi di lokasi itu pas scan, dan device yang lagi gak broadcast (misalnya tracker yang lagi "tidur") bakal lolos. Buat yang mau lebih serius — curiga mobil atau rumah di-track — bisa bangun BLE scanner 24/7 dari SBC murah dan kirim log-nya ke server buat dianalisis. VPS murah kayak RackNerd sering dipake buat naruh aggregator log kayak gini — murah, dan kontrol penuh datanya.

Kalau Ketemu Tracker Asing: Langkah Forensik

Ini skenario yang gak ada yang mau, tapi kalau terjadi, harus tau urutannya. Jangan panik, jangan langsung rusakin trackernya. Langkah forensik yang bener bisa bantu polisi nemu pelakunya:

Catatan forensik (foto + tulis tangan):
- Lokasi ketemu: (contoh: kolong jok mobil)
- Waktu: (tanggal, jam)
- Foto tracker di posisi aslinya (jangan dipindah dulu)
- Nomor seri / QR / identifier di badan tracker
- Aplikasi pendeteksi: (contoh: Unknown tracker alerts)
- Nomor laporan polisi (kalau udah lapor)

1. Foto tracker di posisi temuannya sebelum disentuh. Ini bukti penting soal di mana dan gimana dia ditempatkan.
2. Scan identifier-nya — QR code atau nomor seri di badan tracker sering ngehubungin ke akun pemilik (buat AirTag, nomor seri bisa di-cek).
3. Lapor polisi. Di Indonesia, konteks stalking dengan alat elektronik bisa masuk ranah UU ITE dan UU Perlindungan Data Pribadi — lebih detail di bagian bawah.
4. Nonaktifin tracker (putar kompartemen baterai buat model lama, atau matiin BLE-nya) — tapi tunggu sampai polisi selesai investigasi. Kalau dimatiin keburu, jejaknya ilang.

Prinsipnya: tracker itu barang bukti. Perlakuan yang salah bisa bikin kasusnya gak jalan.

Pencegahan: Kebiasaan yang Bikin Stalker Susah

Mencegah selalu lebih gampang daripada ngelacak pelaku. Kebiasaan sederhana ini bisa ngecilin peluang jadi korban tracker tersembunyi:

Sweep fisik 5 menit (cek tiap titik):
- Tas: jahitan dalam, kompartemen tersembunyi
- Jaket: kerah, lapisan, saku dalam
- Dompet / pouch gadget
- Mobil: kolong jok, dashboard, bumper, wheel well,
  glove box, console tengah, di bawah karpet, belakang plat nomor
- Sepeda / motor: rangka, box, handle

1. Jadikan sweep fisik kebiasaan mingguan — apalagi kalau sering parkir di tempat umum atau titip kendaraan. Tracker Tile Mate/Pro cuma sekitar 3x3 cm; kecil, tapi ketemu kalau tau titik favoritnya.
2. Scan BLE berkala dengan fitur bawaan Android atau app Tile, apalagi setelah habis dari tempat yang bikin gak nyaman.
3. Hati-hati sama barang "bekas" atau "titipan" — tracker sering diselipin di barang yang sengaja dikasih ke korban.
4. Jangan sepelein notifikasi "unknown tracker" yang muncul di HP — itu jarang false-positive.

Dan kalau emang mau ngelindungin pergerakan data secara lebih luas — bukan cuma dari tracker fisik — inget prinsip yang sama: perangkat kecil yang "polos" bisa punya kemampuan besar yang gak diduga. Di artikel soal CCTV IP yang bocor GitHub token, dibahas gimana perangkat IoT murah bisa jadi pintu masuk yang jauh lebih dalem dari yang dikira — pola yang sama persis kayak tracker BLE ini.

Implikasi Hukum: UU ITE dan Yurisdiksi Lain

Di Indonesia, stalking pake tracker BLE belum punya pasal khusus yang eksplisit, tapi bukan berarti kosong. Jalur hukum yang relevan:

1. UU ITE (UU No. 19/2016 jo. UU No. 1/2024) — akses ilegal ke sistem elektronik (Pasal 30-32) dan penyadapan/pelanggaran privasi bisa jadi dasar, tergantung gimana modusnya. Naro tracker di barang orang lain tanpa izin bisa ditarik ke ranah ini.
2. UU Perlindungan Data Pribadi (UU No. 27/2022) — pelacakan posisi orang tanpa consent termasuk pemrosesan data pribadi yang melanggar, dan UU PDP punya sanksi pidana.
3. KUHP baru (UU No. 1/2023, berlaku 2026) — ada pasal yang relevan soal perbuatan yang bikin orang merasa terancam / diintai (stalking).

Catatan jujur: penegakan hukum buat kasus kayak gini di Indonesia masih inkonsisten. Tapi laporan polisi tetap penting — dia bikin jejak resmi, dan buat banyak korban, prosesnya udah bagian dari pemulihan.

Privasi IoT Lebih Luas: Pelajaran dari Tile

Ada contoh lain yang relevan: monitor LG yang diam-diam push software Windows update — perangkat yang dianggap "cuma layar" ternyata punya jalur komunikasi tersembunyi. Sama kayak tracker BLE yang dianggap "cuma kunci gantungan". Pelajarannya konsisten: jangan pernah nge-assume kemampuan perangkat dari bentuk fisiknya, dan selalu tanya: perangkat ini ngirim data ke mana, dan siapa yang bisa dengerin sinyalnya?

Di sisi lain, ada kabar baiknya: kesadaran publik soal tracker tersembunyi udah naik drastis sejak kontroversi AirTag 2022-2023, dan fitur deteksi bawaan Android 14+ / iOS jadi standar baru. Tekanan publik itu yang bikin Apple nge-patch, dan tekanan yang sama harusnya ngarah ke Tile juga — riset Georgia Tech ini amunisi yang pas buat dorong mereka.

Kesimpulan

Jadi, gimana jawaban pertanyaan di awal? Ya — tracker kecil yang ditempel di kunci bisa ngasih tau posisi ke orang lain. Bukan karena teori konspirasi, tapi karena protokol yang gak dienkripsi, server yang bisa liat semuanya, dan fitur anti-stalking yang sengaja dilemahkan — semuanya udah dibuktikan riset Georgia Tech.

Yang bisa dilakuin sekarang: aktifin Unknown tracker alerts di HP, jadikan sweep fisik kebiasaan, dan jangan sepelein notifikasi aneh. Kalau nemu tracker asing, foto, catat, lapor — jangan langsung rusakin. Buat yang pengen belajar lebih dalam, eksperimen mandiri selalu lebih enak kalau punya tempat nyimpen dan analisis data — VPS murah kayak RackNerd bisa jadi tempat eksperimen yang pas buat naruh log scanner BLE atau honeypot IoT. Tetep waspada — privasi itu kerjaan, bukan hadiah.

Sumber

Semua fakta di artikel ini diverifikasi langsung dari sumbernya sebelum ditulis. Gak ada klaim lab-test karangan, gak ada produk fiktif.

1. Security and Privacy Analysis of Tile's Location Tracking Protocol — Akshaya Kumar, Anna Raymaker, Michael A. Specter, Georgia Institute of Technology, 30 September 2025 (arXiv:2510.00350).
2. Tile trackers plagued by weak security, researchers warn — Pieter Arntz, Malwarebytes, 30 September 2025.

Rekomendasi Tools & Layanan

Beberapa layanan yang dipake di panduan ini: free trial Alibaba Cloud (coba gratis, sesuaikan kebutuhan), dan halaman promo terbaru buat cek diskon yang lagi jalan bulan ini.