CISA Peringatkan Lonjakan Serangan Siber yang Mengganggu Sistem Air Minum di Amerika Serikat

Badan Keamanan Siber dan Infrastruktur Amerika Serikat (Cybersecurity and Infrastructure Security Agency/CISA) mengeluarkan peringatan mendesak terkait meningkatnya serangan siber yang menargetkan programmable logic controller (PLC) yang terhubung langsung ke internet pada sektor penyediaan air bersih dan pengolahan air limbah.

Peringatan tersebut diterbitkan setelah serangan siber terkoordinasi mengganggu operasional lebih dari 30 sistem penyedia air masyarakat di negara bagian Minnesota pada 26 hingga 27 Juli 2026.

Penyerang Mengunci Operator dari Sistem

Menurut CISA, para pelaku secara aktif menargetkan PLC yang dapat diakses melalui internet untuk melakukan berbagai aksi yang mengganggu operasional.

Beberapa tindakan yang diamati meliputi:

• Mengubah kata sandi PLC sehingga operator kehilangan akses.
• Mengganti alamat IP perangkat agar terputus dari internet.
• Melakukan perubahan konfigurasi yang menyebabkan gangguan layanan.

CISA mendesak seluruh pemilik, operator, dan integrator infrastruktur penting agar segera menghapus akses publik terhadap PLC dan perangkat Operational Technology (OT) lainnya.

Organisasi Kecil hingga Besar Menjadi Target

CISA menegaskan bahwa serangan ini tidak hanya menyasar organisasi dengan tingkat keamanan rendah.

Berbagai organisasi pengelola sistem air bersih dan air limbah, termasuk yang telah memiliki program keamanan siber yang matang, turut menjadi sasaran.

Lembaga tersebut juga mengingatkan adanya risiko dari modem seluler yang dipasang tanpa dokumentasi memadai oleh operator, vendor, maupun integrator sistem. Perangkat semacam ini sering kali menjadi titik akses yang luput dari pengawasan keamanan.

Risiko Jika Perangkat OT Terpapar Internet

Menurut CISA, perangkat OT yang dapat diakses langsung dari internet berpotensi mengalami berbagai ancaman, antara lain:

• Perubahan tampilan atau defacement.
• Modifikasi konfigurasi sistem.
• Gangguan operasional.
• Kerusakan fisik terhadap infrastruktur.

Karena itu, perangkat OT sebaiknya tidak pernah dihubungkan langsung ke internet.

Rekomendasi Mitigasi dari CISA

Apabila perangkat masih harus diakses dari luar jaringan, CISA menyarankan penggunaan metode akses yang lebih aman seperti:

• Virtual Private Network (VPN).
• Gateway khusus untuk akses jarak jauh.

Selain itu, organisasi juga diminta untuk:

• Mengganti seluruh kata sandi bawaan perangkat.
• Membatasi akses menggunakan daftar alamat IP yang diizinkan (IP allow-list).

Khusus bagi pengguna Rockwell Automation MicroLogix 1400 PLC, CISA juga mengarahkan administrator agar mengikuti panduan resmi vendor apabila kata sandi perangkat telah diubah oleh penyerang.

Ribuan PLC Masih Terpapar Internet

Perusahaan keamanan siber Censys turut merilis analisis mengenai tingkat paparan perangkat industri yang masih dapat diakses melalui internet.

Berdasarkan hasil pemindaian mereka, saat ini terdapat sekitar:

• 4.100 perangkat Rockwell Automation/Allen-Bradley.
• 4.100 perangkat Siemens.
• Lebih dari 2.000 perangkat Schneider Electric.

Perlu dicatat bahwa angka tersebut menunjukkan perangkat yang dapat dijangkau melalui internet publik, bukan berarti seluruhnya telah menjadi korban serangan.

Banyak Menggunakan Firmware Lama

Censys juga menemukan bahwa banyak MicroLogix 1400 PLC masih menjalankan firmware yang telah memasuki status End of Sale (EoS).

Selain itu, perusahaan tersebut menyoroti keberadaan modem seluler yang tidak terdokumentasi sebagai salah satu titik lemah paling umum.

Hampir setengah dari perangkat Rockwell yang ditemukan dapat diakses melalui jaringan berbagai operator telekomunikasi, antara lain:

• Verizon Business.
• AT&T.
• T-Mobile.
• Comcast.
• Charter.
• Starlink.

Menurut Censys, kondisi tersebut memperbesar peluang perangkat industri terekspos langsung ke internet tanpa pengamanan yang memadai.

Serangan di Minnesota Jadi Pemicu Peringatan

Awal pekan ini, Minnesota IT Services (MNIT) mengaktifkan rencana tanggap insiden keamanan siber setelah mendeteksi serangan terkoordinasi terhadap sistem Operational Technology di lebih dari 30 fasilitas penyedia air masyarakat.

Beberapa kota melaporkan gangguan pada peralatan sehingga operator harus beralih sementara ke pengoperasian manual untuk menjaga layanan tetap berjalan.

MNIT saat ini terus membagikan informasi ancaman yang diperoleh dari sistem terdampak serta memberikan panduan teknis kepada utilitas air agar proses pemulihan dapat berlangsung lebih cepat.

Perlindungan OT Menjadi Prioritas

Kasus ini kembali menunjukkan bahwa sistem Operational Technology yang masih terhubung langsung ke internet menjadi sasaran empuk pelaku serangan siber.

CISA menegaskan bahwa langkah paling efektif untuk mengurangi risiko adalah mengisolasi perangkat OT dari internet publik, menerapkan kontrol akses yang ketat, serta memastikan seluruh perangkat menggunakan konfigurasi keamanan terbaru agar infrastruktur penting tetap terlindungi.