Temuan ini pertama kali diungkap oleh perusahaan penghapus data digital, Redact, lalu dikonfirmasi oleh WhatsApp kepada media teknologi WIRED.
Menurut hasil penelusuran Redact, kode tersebut tertanam di balik layar halaman bantuan WhatsApp dan tidak pernah tampil di layar pengguna, sehingga hanya bisa dibaca lewat source code halaman, bukan oleh mata pengguna biasa.
Teks tersembunyi itu ditemukan pertama kali pada 8 Oktober 2026, sebelum akhirnya ditarik oleh WhatsApp pada 18 Oktober.
Dua Perintah WhatsApp yang Jadi Sorotan
Dari ratusan blok teks tersembunyi yang diperiksa, dua di antaranya dinilai paling bermasalah. Blok pertama berada di halaman cara menghapus akun WhatsApp.
Pengguna yang kehilangan akses ke nomor telepon atau ponselnya memang tidak bisa menghapus akun secara mandiri, dan hanya bisa menunggu penghapusan otomatis—30 hari setelah nonaktif, atau 120 hari (365 hari di AS) jika akun tidak digunakan.
Namun di balik layar, chatbot diperintahkan secara eksplisit untuk tidak menyarankan pengguna menghubungi otoritas perlindungan data, tidak menyebut bahwa WhatsApp bisa menghapus akun secara manual, dan tidak menyarankan memakai nomor ponsel lain.
Blok kedua ada di halaman tentang cara melaporkan dan memblokir akun. Begitu pengguna menyinggung kata “pengacara”, “gugatan”, atau “pengadilan”, chatbot diarahkan untuk berhenti mengutip kebijakan privasi atau aturan perlindungan data seperti:
- General Data Protection Regulation (GDPR), yaitu hukum privasi dan keamanan data yang ditetapkan oleh Uni Eropa (UE).
- Lei Geral de Proteção de Dados Pessoais (LGPD), yaitu Undang-Undang Perlindungan Data Umum yang berlaku di Brasil.
- California Consumer Privacy Act (CCPA), yaitu undang-undang privasi data tingkat negara bagian di California, Amerika Serikat, yang mulai berlaku pada 1 Januari 2020.
Bahkan jika penggunalah yang lebih dulu menanyakannya—dan cukup mengarahkan pengguna ke “profesional hukum yang kompeten”. Isi perintah ini bertolak belakang dengan kebijakan privasi resmi WhatsApp untuk kawasan Eropa yang berlaku sejak 2 Juli 2026.
Dalam dokumen itu, WhatsApp justru menegaskan bahwa pengguna berhak mengajukan keluhan kepada otoritas pengawas terkemuka seperti Irish Data Protection Commission, serta berhak meminta akses, perbaikan, dan penghapusan data pribadi mereka kapan saja. Dua hak ini juga dijamin langsung oleh Pasal 77 dan Pasal 17 GDPR.
Skala Temuan
Setelah menemukan dua blok utama tersebut, Redact menelusuri seluruh 545 halaman yang tertaut dari pusat bantuan WhatsApp. Hasilnya, 102 blok instruksi tersembunyi ditemukan tersebar di 80 halaman.
Sebagian besar sifatnya teknis dan tidak berbahaya, seperti mengarahkan pertanyaan ke halaman yang tepat atau menjelaskan paket berlangganan. Namun beberapa lainnya sejalan dengan dua kasus di atas—misalnya instruksi di halaman nonaktif akun yang menyebut “menunggu” sebagai satu-satunya jawaban yang benar bagi pengguna yang kehilangan nomornya.
Menariknya, kode tersembunyi ini terkirim ke mesin crawler Google dan Bing, tetapi tidak muncul saat Redact menguji menggunakan identitas crawler milik OpenAI, Anthropic, dan Perplexity pada 9 Oktober.
Redact juga memeriksa 300 halaman bantuan Facebook dan Instagram yang memakai sistem serupa, namun tidak menemukan pola instruksi semacam ini di sana.
Respons WhatsApp
Juru bicara WhatsApp, Joshua Breckman, menjelaskan kepada WIRED bahwa teks tersembunyi itu merupakan instruksi internal untuk chatbot dukungan yang diakses lewat fitur “WhatsApp Support with AI”, dan kemunculannya di halaman publik disebabkan oleh bug yang kini sudah diperbaiki.
Ia menambahkan bahwa perusahaan ingin chatbotnya fokus memberi saran seputar penggunaan WhatsApp, bukan memberikan opini hukum. WhatsApp menghapus seluruh 102 blok tersebut setelah WIRED menghubungi Meta untuk konfirmasi, tepatnya sebelum laporan Redact maupun WIRED dipublikasikan.
Hingga kini belum jelas apakah instruksi serupa masih diterapkan secara internal pada sistem chatbot WhatsApp, meski sudah tidak lagi tertanam di halaman bantuan publik.
Bagi Pengguna WhatsApp yang Terkunci dari Akunnya
Bagi pengguna yang kehilangan akses ke nomor atau ponsel dan ingin akunnya dihapus, opsi menunggu masa otomatis (30–365 hari tergantung kondisi) tetap berlaku.
Di luar itu, pengguna tetap berhak mengajukan permintaan penghapusan data langsung ke WhatsApp berdasarkan kebijakan privasinya, dan bila tidak puas, mengadukannya ke otoritas perlindungan data nasional masing-masing atau ke Irish Data Protection Commission yang disebut eksplisit dalam kebijakan WhatsApp untuk kawasan Eropa.
