Sistem penyediaan air bersih di Amerika Serikat menghadapi ancaman siber yang tidak hanya berisiko mencuri data, tetapi juga dapat mengubah proses fisik di fasilitas penting. Kelompok peretas yang diduga didukung Iran disebut membidik perangkat pengendali industri yang mengatur distribusi air, pengolahan limbah, energi, hingga fasilitas pemerintahan.
Risiko paling mengkhawatirkan muncul ketika pelaku berhasil memodifikasi logika perangkat sehingga alarm dan mekanisme penghentian darurat tidak bekerja sebagaimana mestinya. Dalam kondisi seperti itu, operator dapat menerima tampilan yang tidak sesuai dengan situasi sebenarnya di lapangan.
Peringatan bersama ini diterbitkan oleh Federal Bureau of Investigation (FBI), National Security Agency (NSA), Cybersecurity and Infrastructure Security Agency (CISA), serta Departemen Energi AS. Pemerintah AS menilai kampanye tersebut berpotensi mengganggu infrastruktur penting karena menyasar teknologi operasional yang mengendalikan proses secara langsung.
Target utama pelaku adalah programmable logic controller atau PLC yang masih terhubung ke internet publik. Perangkat ini digunakan untuk mengotomatisasi beragam proses, dari pengaturan distribusi air bersih hingga operasi pembangkit dan fasilitas energi.
Memanfaatkan Celah Dasar, Bukan Zero-Day
Aktivitas ini disebut telah berlangsung setidaknya sejak Maret 2026 dan menyasar sistem dengan perlindungan yang lemah. Pelaku tidak terutama mengandalkan celah zero-day, melainkan memanfaatkan kata sandi lemah, kredensial bocor, perangkat yang terbuka ke internet, serta fitur rekayasa resmi pada perangkat industri.
Menurut FBI, pelaku memakai perangkat lunak resmi produsen PLC untuk masuk ke sistem korban. Setelah memperoleh akses, mereka dapat mengunduh file proyek, mengubah logika pengendalian, lalu memanipulasi tampilan pada human machine interface (HMI) dan sistem supervisory control and data acquisition (SCADA).
Temuan FBI dan CISA mencakup file proyek PLC yang telah dimodifikasi pada perangkat Rockwell Automation. Perubahan pada modul program penting serta konfigurasi HMI dan SCADA dapat membuat notifikasi kondisi berbahaya tidak sampai kepada operator.
| Produsen | Model yang Disebut Menjadi Sasaran | Risiko Utama |
|---|---|---|
| Rockwell Automation | CompactLogix, Micro850 | Perubahan logika PLC dan tampilan sistem |
| Schneider Electric | BMX P34, Modicon M340 | Akses ke pengendali industri |
| Siemens | S7-1200 | Akses ke pengendali industri |
Dampaknya Bisa Menjangkau Layanan Publik
Dalam sejumlah insiden, organisasi mengalami gangguan operasional dan kerugian finansial setelah logika pengendalian diubah. Ada pula operator yang harus menjalankan sistem secara manual setelah kata sandi perangkat diganti oleh peretas.
CISA menyebut beberapa wilayah sempat menerbitkan boil water advisory sebagai langkah pencegahan untuk menjaga keamanan pasokan air. Sektor ini memiliki sekitar 152.000 sistem penyedia air minum publik dan lebih dari 16.000 instalasi pengolahan air limbah di Amerika Serikat.
Skala tersebut membuat kompromi pada satu sistem kontrol tidak bisa dipandang sebagai gangguan teknologi biasa. Perubahan kecil pada PLC dapat berkembang menjadi persoalan lebih besar jika operator terlambat mengetahui kondisi sebenarnya.
Pada 26–27 Juli, lebih dari 30 sistem penyedia air di Minnesota dilaporkan mengalami serangan siber terkoordinasi terhadap sistem pemantauan dan pengendalian jarak jauh. Otoritas setempat mengonfirmasi aktivitas berbahaya pada teknologi operasional, meski tidak semua wilayah mengalami gangguan layanan.
Penyelidik masih mendalami kemungkinan keterlibatan kelompok yang didukung Iran dalam kasus Minnesota. Pemerintah AS belum menetapkan pihak yang bertanggung jawab karena investigasi masih berlangsung dan penilaian dapat berubah seiring munculnya bukti baru.
CyberAv3ngers dan Handala dalam Sorotan
Metode serangan tersebut dinilai memiliki kemiripan dengan operasi yang sebelumnya dikaitkan dengan CyberAv3ngers. Kelompok itu disebut Pemerintah AS memiliki hubungan dengan Korps Garda Revolusi Islam Iran atau IRGC.
Pelaku juga disebut memakai server sewaan di luar negeri untuk menjalankan perangkat lunak rekayasa resmi milik vendor PLC. Mereka memanfaatkan Dropbear SSH yang ditemukan pada modem korban untuk mendapatkan akses jarak jauh ke jaringan industri.
Selain CyberAv3ngers, kelompok Handala turut menjadi perhatian setelah mengklaim serangan terhadap Stryker, Verifone, dan penyedia layanan air Cal Water. Stryker mengonfirmasi adanya insiden siber, sementara Verifone membantah klaim tersebut dan Cal Water menyatakan tidak menemukan bukti akses tidak sah ke jaringan operasionalnya.
Langkah yang Diminta CISA
CISA meminta operator infrastruktur penting segera memutus koneksi langsung PLC ke internet publik apabila akses itu tidak benar-benar diperlukan. Jika akses jarak jauh harus dipertahankan, lembaga tersebut merekomendasikan penggunaan firewall, VPN, atau gateway keamanan khusus.
Operator juga diminta menerapkan autentikasi multifaktor, mengganti kata sandi bawaan, membatasi akses pengguna, serta memeriksa log jaringan dan modem secara berkala. Cadangan sistem perlu disimpan secara offline, sementara pembaruan keamanan dari vendor harus segera dipasang.
Untuk perangkat dengan sakelar mode fisik, CISA menyarankan verifikasi file proyek PLC yang sedang berjalan sebelum perangkat dioperasikan kembali. Program aktif juga perlu dibandingkan dengan salinan yang telah diverifikasi, termasuk konfigurasi input-output, agar logika berbahaya dapat ditemukan sebelum mengganggu layanan publik.
