Semalam pada 26–27 Juli, operator di lebih dari 30 sistem air dan limbah komunitas di Minnesota tiba-tiba kehilangan kendali atas perangkat kontrol mereka sendiri — kata sandi diganti, alamat IP diubah begitu saja oleh pihak yang tidak berwenang, dan sejumlah fasilitas terpaksa beralih ke operasi manual mendadak. Minnesota IT Services (MNIT) baru mengonfirmasi sifat terkoordinasi insiden ini pada 28 Juli, sembari berkoordinasi dengan CISA, EPA, dan FBI. Empat komunitas disebut terbuka ke publik dalam laporan awal: Braham, Plymouth, South St. Paul, dan Maple Plain (CBS News).
Yang membuat insiden ini berbeda dari gangguan IT biasa: targetnya bukan situs web atau basis data pelanggan, melainkan perangkat yang secara fisik mengatur tekanan air dan dosis bahan kimia di lapangan.
Cara Penyerang Masuk: PLC yang Terbuka ke Internet
Penyerang menyasar programmable logic controller (PLC) — komputer industri kecil yang mengendalikan pompa, katup, dan dosis kimia — yang sengaja atau tidak sengaja terhubung langsung ke internet tanpa gateway aman. Begitu masuk, mereka mengganti kata sandi perangkat untuk mengunci operator, lalu mengubah alamat IP-nya sehingga PLC terputus dari jaringan pemantauan pusat (Tenable). Beberapa fasilitas terpaksa menerbitkan imbauan rebus air (boil-water notice) dan menjalankan operasi manual sampai kendali dipulihkan. Pejabat menegaskan kualitas dan keamanan air tidak sempat terganggu di satu pun lokasi.
Perangkat yang jadi sasaran mencakup Rockwell CompactLogix dan Micro850, Schneider Electric Modicon M340, serta Siemens S7-1200 — rentang vendor yang cukup luas untuk menunjukkan penyerang tidak bergantung pada satu celah tunggal, melainkan pola eksploitasi umum terhadap PLC apa pun yang terekspos ke internet publik.
Bukan Cuma Minnesota — Menjalar ke Tujuh Negara Bagian
Dua hari setelah MNIT mengonfirmasi insiden Minnesota, FBI dan EPA menerbitkan peringatan bersama pada 30 Juli bahwa aktivitas serupa sudah menyasar sistem air dan limbah di setidaknya tujuh negara bagian AS sejak 27 Juli — Michigan jadi negara bagian kedua yang disebut eksplisit, sementara lima lainnya belum diumumkan resmi (NBC News). Skala penyebaran dalam waktu kurang dari satu minggu itu yang membuat pejabat federal menyebutnya sebagai salah satu gelombang serangan terhadap sektor air paling luas yang pernah tercatat di AS (CNN).
Jejak Mengarah ke Iran, Tapi Atribusi Resmi Belum Final
MNIT sejauh ini menahan diri soal siapa pelakunya — advisori resminya menyatakan pihaknya "belum mengatribusikan aktivitas ini ke aktor tertentu" selama investigasi berjalan. Namun sejumlah sumber penegak hukum mengatakan pola serangannya punya ciri khas kelompok CyberAv3ngers, ekosistem peretas yang secara resmi dikaitkan pemerintah AS dengan Islamic Revolutionary Guard Corps Cyber-Electronic Command (IRGC-CEC) milik Iran (The Hill). Departemen Keuangan AS sudah menjatuhkan sanksi ke enam pejabat IRGC-CEC pada Februari 2024 karena mengarahkan operasi CyberAv3ngers, dan Departemen Luar Negeri menawarkan hadiah hingga 10 juta dolar AS lewat program Rewards for Justice untuk informasi soal kelompok ini (Tenable).
Penekanan pada kata "diduga" ini penting: sumber-sumber tersebut sendiri mengingatkan penilaian awal bisa berubah begitu bukti teknis tambahan terkumpul. Bukan hal baru juga — CyberAv3ngers sudah pernah membobol PLC Unitronics di fasilitas air Aliquippa, Pennsylvania pada akhir 2023, jadi pola serangan kali ini punya preseden yang cukup jelas.
CISA Sebenarnya Sudah Memperingatkan Sejak April
Insiden Minnesota bukan sinyal pertama. CISA menerbitkan advisory AA26-097A pada 7 April 2026 yang secara spesifik memperingatkan eksploitasi PLC bermuatan Iran terhadap infrastruktur kritis AS. Pembaruan pada 22 Juli — hanya empat hari sebelum serangan Minnesota — memperluas cakupan advisory itu dari sekadar perangkat Rockwell menjadi mencakup Schneider Electric dan Siemens juga, sekaligus mendokumentasikan eksfiltrasi berkas proyek PLC untuk pertama kalinya (The Hacker News). Dengan kata lain, lonjakan aktivitas di Minnesota persis mengikuti pola yang sudah lebih dulu diprediksi lembaga keamanan siber pemerintah AS sendiri.
Takeaway
Insiden ini menegaskan satu titik lemah yang sudah lama diketahui tapi jarang ditangani serius: PLC yang terhubung langsung ke internet tanpa gateway aman adalah target empuk, terlepas dari mereknya. CISA merekomendasikan operator sistem air dan limbah segera mencabut akses internet langsung ke PLC lewat firewall atau gateway aman, membatasi akses kontroler hanya untuk sistem berwenang, memeriksa berkas proyek PLC yang berjalan untuk perubahan tak sah, serta memvalidasi backup sebelum dipakai memulihkan sistem. Buat operator infrastruktur kritis di luar AS — termasuk Indonesia, yang juga punya banyak fasilitas air dan energi bergantung pada PLC generasi lama — insiden ini layak jadi pengingat untuk mengaudit paparan internet perangkat kontrol industri mereka sendiri sebelum, bukan sesudah, jadi korban gelombang serupa.
---
Sumber gambar: Adi Goldstein di Unsplash Sumber gambar: Umberto di Unsplash Sumber gambar: imgix di Unsplash
The conversation 0
No comments yet. Start the conversation.