Serangan Kelompok Iran ke Sistem Air dan PLC: Pelajaran Keamanan OT

Peringatan gabungan pemerintah Amerika Serikat tentang kelompok yang berafiliasi dengan Iran yang menyasar PLC (programmable logic controller) yang terhubung ke internet menjadi pengingat keras bagi keamanan OT PLC di seluruh dunia. CISA juga mencatat aktivitas berbahaya terhadap lebih dari 100 sistem air dan air limbah yang terekspos internet pada Juli 2026, umumnya lewat PLC yang tersambung langsung ke modem seluler.

Ringkasan Kasus

• Dokumen utama: advisory gabungan AA26-097A, terbit 7 April 2026 dan diperbarui 22 Juli 2026, disusun oleh FBI, CISA, NSA, EPA, Departemen Energi, US Cyber Command (Cyber National Mission Force), dan Departemen Keuangan AS.
• Pelaku menurut advisory: kelompok APT yang berafiliasi dengan Iran. Advisory juga mengaitkan kampanye CyberAv3ngers sebelumnya dengan IRGC Cyber Electronic Command.
• Perangkat yang disasar: PLC Rockwell Automation/Allen-Bradley (CompactLogix dan Micro850), Schneider Electric (Modicon M340) dan Siemens (S7-1200). Pembaruan Juli memperluas cakupan advisory ke perangkat Schneider Electric dan Siemens.
• Skala terbaru: dalam panduan pengurangan eksposur internet yang diberitakan akhir Agustus 2026, CISA mencatat aktivitas berbahaya terhadap lebih dari 100 sistem sektor air dan air limbah yang terekspos internet pada Juli 2026. Panduan itu tidak menyebut siapa pelakunya.
• Bukan soal CVE: inti masalahnya adalah perangkat yang terekspos dan salah konfigurasi, bukan satu celah perangkat lunak yang bisa ditambal.

Apa yang Terjadi pada PLC yang Terekspos

Menurut advisory, para pelaku mencapai PLC yang terhubung ke internet dan salah konfigurasi, memakai infrastruktur sewaan di luar negeri serta perangkat lunak pemrograman resmi pabrikan. Mereka juga menyasar modem seluler yang menjadi jalur akses ke perangkat di lapangan. Setelah masuk, aktivitas yang dilaporkan meliputi pengambilan berkas proyek PLC, perubahan atau penghapusan logika proyek, perubahan data yang tampil di HMI dan SCADA, serta penonaktifan logika shutdown dan alarm sehingga proses dapat masuk ke kondisi tidak aman tanpa operator menyadarinya.

Pada sebagian korban, advisory menyebut terjadi gangguan operasional dan kerugian finansial. Pada satu korban, berkas proyek berbahaya mempertahankan logika asli tetapi menambahkan logika yang menimpa instruksi penjaga parameter aman. Ini alasan mengapa serangan terhadap OT berbeda dari serangan TI biasa: akibatnya bisa berupa proses fisik, bukan hanya data.

SecurityWeek melaporkan bahwa pemerintah AS belum menyebut berapa negara bagian yang terdampak, tetapi pemberitaan menunjukkan setidaknya 12 negara bagian, dengan enam yang mengonfirmasi menjadi target: Minnesota, Michigan, South Dakota, Georgia, New Jersey, dan Alabama. Laporan yang sama menyebut serangan Juli tersebut tidak menimbulkan gangguan signifikan, namun memunculkan kekhawatiran tentang dampaknya bagi sektor air.

Status Atribusi: Dikonfirmasi atau Klaim

Atribusi kepada aktor yang berafiliasi dengan Iran dalam advisory AA26-097A adalah penilaian resmi lembaga-lembaga penulisnya. Gelombang serangan Juli 2026 ke sistem air statusnya berbeda: panduan CISA tidak menyebut pelakunya, dan TechCrunch melaporkan bahwa pejabat AS yang dikutip media menduga Iran berada di baliknya, tetapi belum ada atribusi resmi. TechCrunch juga menggambarkan serangan itu sebagian besar bersifat oportunistis. Pembaca sebaiknya memisahkan dua hal ini: penilaian resmi tentang kampanye yang dijelaskan advisory, dan dugaan tentang gelombang Juli atau kasus tunggal di tiap negara bagian.

Pelajaran Keamanan OT PLC bagi Organisasi

Pesan inti dari CISA konsisten: hapus PLC dari paparan internet langsung. Mengganti kata sandi bawaan itu perlu, tetapi bukan jawaban utama. Berikut langkah praktis yang bersumber dari rekomendasi advisory.

1. Inventarisasi eksposur. Cari semua aset OT yang dapat dijangkau dari internet, termasuk yang tersembunyi di balik modem seluler. Pastikan mana yang benar-benar perlu dan hapus sisanya.
2. Jangan buka port OT ke internet. Akses jarak jauh sebaiknya lewat gateway atau jump host dengan autentikasi multifaktor, dan akses jaringan ke PLC dibatasi dengan aturan firewall atau ACL. Pertimbangkan APN privat, VPN site-to-site, atau ZTNA untuk jalur seluler.
3. Amankan modem seluler. Gunakan autentikasi kuat dan firmware yang diperbarui.
4. Kunci mode perangkat. Pada PLC Rockwell, atur sakelar mode fisik ke posisi run. Pada perangkat yang memiliki kunci perangkat lunak, aktifkan proteksi pemrograman.
5. Ganti kata sandi bawaan dan tambal. Gunakan kata sandi unik dan kompleks, lalu tambal PLC pada jendela pemeliharaan dengan prioritas celah yang masuk daftar CISA KEV.
6. Siapkan cadangan luring. Simpan salinan logika dan konfigurasi PLC yang sudah teruji, dan verifikasi bahwa cadangan bersih sebelum memulihkan.
7. Pantau perubahan. Bandingkan berkas proyek yang berjalan dengan logika yang diketahui baik, termasuk Add-On Instructions, dan pantau log untuk lalu lintas pada port OT, terutama yang berasal dari penyedia hosting asing.

Relevansi untuk Indonesia

Advisory ini ditulis untuk infrastruktur AS, dan belum ada laporan terverifikasi tentang serangan serupa di Indonesia. Meski begitu, polanya relevan: PDAM, pabrik, gudang pendingin, dan fasilitas energi di Indonesia juga memakai PLC dan modem seluler agar teknisi dapat memantau dari jauh. Jika perangkat tersebut dapat dijangkau dari internet, risikonya sama, siapa pun pelakunya. Pelajari fondasinya di Apa Itu Network Security, prinsip Zero Trust Security, dan mengapa security misconfiguration menjadi akar banyak insiden seperti ini.

Bila tim Anda mengelola aset OT dan ingin tahu apa saja yang terlihat dari luar, penilaian keamanan eksternal oleh pihak yang berwenang dapat membantu. Pengujian terhadap sistem yang bukan milik Anda tanpa izin adalah akses ilegal dan dapat dijerat Pasal 332 KUHP yang berlaku sejak 2 Januari 2026.

Baca juga: Serangan Wiper Stryker: Dugaan Penyalahgunaan Microsoft Intune, Salt Typhoon dan Pembobolan Sistem Pengawasan FBI.

Pertanyaan yang Sering Diajukan

Apakah serangan ini memakai celah zero-day?

Advisory menekankan perangkat yang terekspos ke internet dan salah konfigurasi, bukan satu celah baru. Karena itu, mengurangi eksposur lebih efektif daripada menunggu patch.

Cukupkah mengganti kata sandi bawaan?

Itu perlu, tetapi tidak cukup. CISA menempatkan penghapusan PLC dari paparan internet langsung sebagai langkah pertama, lalu autentikasi multifaktor, segmentasi, dan pemantauan sebagai lapisan berikutnya.

Apakah organisasi di Indonesia perlu khawatir?

Belum ada laporan terverifikasi tentang kampanye ini di Indonesia, tetapi paparan PLC lewat modem seluler adalah praktik umum. Cek eksposur Anda sendiri sebelum ada yang menemukannya lebih dulu.

Dari mana memulai jika aset OT belum pernah diinventarisasi?

Mulai dari daftar perangkat yang punya alamat IP publik atau modem seluler, lalu tentukan pemiliknya dan kebutuhan akses jarak jauhnya. CISA menyediakan layanan Cyber Hygiene tanpa biaya untuk meninjau aset yang dapat diakses dari internet; untuk organisasi di luar cakupan itu, hasil pemindaian eksternal berkala dapat memberi gambaran serupa.

Kesimpulan

Serangan ke sistem air ini bukan cerita tentang kecanggihan teknik, melainkan tentang perangkat penting yang dibiarkan terbuka ke internet. Per 29 Oktober 2026, rekomendasinya tetap sederhana: hapus eksposur langsung, amankan akses jarak jauh, kunci mode perangkat, dan simpan cadangan logika. Jika Anda ingin memperdalam keamanan jaringan dan infrastruktur, Linuxhackingid menyediakan pelatihan keamanan siber untuk organisasi, dan tim kami siap membantu menilai eksposur aset Anda.