Ada satu asumsi yang selama ini terasa masuk akal dalam dunia keamanan infrastruktur: kalau sebuah sistem tidak terhubung langsung ke internet publik, maka risikonya jauh lebih kecil.
Serangan terhadap sebuah pembangkit listrik dan panas di Polandia menunjukkan mengapa asumsi itu berbahaya.
Pada 29 Desember 2025, sebuah turbin uap dan sistem pengolahan air di sebuah combined heat and power plant (CHP) tiba-tiba berhenti. Pembangkit tersebut memasok panas bagi sekitar 50.000 penduduk. Gangguan akhirnya berhasil dipulihkan dan tidak sampai menghentikan pasokan panas kepada konsumen, tetapi ada satu pertanyaan yang jauh lebih mengkhawatirkan:
Bagaimana penyerang bisa masuk ke jaringan operasional pembangkit?
Jawabannya baru ditemukan setelah investigasi CERT Polska berlangsung lebih dari tiga bulan.
Pada 8 Agustus 2026, CERT Polska menerbitkan laporan lanjutan yang mengungkap jalur serangan yang sebelumnya belum diketahui publik. Penyerang ternyata memanfaatkan sebuah private APN, jaringan seluler khusus yang justru selama ini diperlakukan sebagai lingkungan yang relatif terisolasi. Menurut CERT Polska, ini merupakan kasus pertama yang mereka ketahui di dunia nyata ketika private APN digunakan sebagai jalur untuk mencapai jaringan OT dalam sebuah serangan.
Dan di sinilah cerita menjadi jauh lebih menarik.
Karena penyerang tidak perlu “membobol pembangkit” dari internet.
Mereka menemukan jalan lain.
Serangan Besar 29 Desember Ternyata Lebih Kompleks dari yang Diketahui
Nama tanggal 29 Desember 2025 sebelumnya sudah dikenal dalam komunitas keamanan siber Polandia.
Pada hari itu, CERT Polska mengungkap serangkaian serangan terkoordinasi terhadap infrastruktur energi Polandia. Targetnya mencakup lebih dari 30 instalasi tenaga angin dan fotovoltaik, sebuah perusahaan manufaktur, serta sebuah CHP besar yang memasok panas kepada hampir 500.000 pelanggan. CERT menyebut tujuan serangan tersebut murni destruktif.
Serangan itu terjadi ketika Polandia sedang menghadapi suhu rendah dan badai salju menjelang pergantian tahun.
Pada instalasi energi terbarukan, serangan menyebabkan gangguan komunikasi antara fasilitas pembangkit dan operator sistem distribusi. Produksi listrik yang sedang berlangsung tidak ikut terhenti.
Pada CHP besar, penyerang mencoba melakukan sabotase dengan merusak data pada perangkat di jaringan internal menggunakan wiper malware. Namun upaya tersebut diblokir oleh sistem EDR yang digunakan organisasi.
Kasus tersebut sudah cukup serius.
Tetapi ternyata belum semuanya terungkap.
Dalam investigasi lanjutan, CERT Polska menemukan bahwa pada tanggal yang sama terdapat insiden lain pada CHP yang lebih kecil, yang memasok panas kepada sekitar 50.000 penduduk.
Dan insiden kedua inilah yang membuka cerita mengenai private APN.
Bukan Malware yang Menjadi Masalah Utama
Serangan terhadap CHP kecil tersebut memiliki karakter yang berbeda.
Penyerang berhasil menghentikan turbin uap dan sistem pengolahan air yang digunakan untuk menghasilkan process water. Karena pembangkit tersebut merupakan fasilitas kogenerasi, gangguan pada proses itu memengaruhi produksi listrik dan panas secara bersamaan.
Namun operator bergerak cepat.
Gangguan hanya berlangsung dalam waktu singkat dan tidak sampai memutus pasokan panas kepada konsumen.
Bagi masyarakat, mungkin terdengar seperti insiden kecil.
Bagi analis keamanan OT, justru sebaliknya.
Serangan tersebut menunjukkan bahwa penyerang telah berhasil mencapai perangkat industri di dalam lingkungan operasional pembangkit.
Lebih menarik lagi, laporan CERT Polska menunjukkan bahwa serangan tidak bergantung pada malware untuk menjalankan sebagian tindakan destruktif.
Penyerang memanfaatkan fungsi yang memang sudah tersedia di perangkat.
Inilah yang membuat serangan tersebut sulit dideteksi.
Tidak ada program asing yang harus muncul sebagai alarm.
Tidak ada file mencurigakan yang harus dieksekusi.
Perangkat hanya menjalankan perintah yang secara teknis memang dapat dilakukan oleh administrator.
Dari Ladang Angin ke Pembangkit: “Tetangga” yang Tidak Saling Mengenal
Jalur serangan dimulai bukan dari pembangkit yang menjadi korban.
Penyerang terlebih dahulu berhasil mendapatkan akses ke lingkungan sebuah ladang angin.
Secara bisnis, kedua organisasi tersebut tidak memiliki hubungan langsung.
Namun ada satu kesamaan penting.
Keduanya menggunakan jaringan seluler khusus yang sama.
Jaringan tersebut berbasis private APN.
Private APN (Access Point Name) pada dasarnya dapat digunakan operator telekomunikasi untuk menyediakan konektivitas seluler yang diperuntukkan bagi pelanggan atau kelompok perangkat tertentu. Dalam implementasi industri, teknologi semacam ini dapat digunakan untuk menghubungkan perangkat yang tersebar secara geografis—misalnya perangkat jaringan listrik, sensor, router, atau peralatan lapangan—tanpa harus mengekspos semuanya secara langsung ke internet publik.
Di atas kertas, kedengarannya aman.
Masalahnya ada pada konfigurasi.
Menurut CERT Polska, private APN yang digunakan dalam kasus tersebut memungkinkan perangkat arbitrer di dalam jaringan untuk berkomunikasi satu sama lain. Artinya, perangkat milik satu organisasi dapat mencapai perangkat milik organisasi lain melalui jaringan yang sama.
Inilah titik balik kasus tersebut.
Sebuah jaringan yang dianggap “tertutup” ternyata bukan berarti setiap penggunanya benar-benar terisolasi.
Pintu Pertama: FortiGate di Ladang Angin
Setelah masuk ke lingkungan ladang angin, penyerang menemukan perangkat FortiGate yang berfungsi sebagai firewall sekaligus gerbang VPN.
Perangkat tersebut menjadi titik masuk penting.
Bahan investigasi menunjukkan adanya akses yang tidak menggunakan autentikasi multifaktor, sehingga kredensial yang berhasil diperoleh dapat digunakan untuk masuk ke lingkungan VPN.
Dari titik tersebut, penyerang mendapatkan pijakan yang lebih dalam.
Kemudian mereka menemukan router seluler Teltonika RUTX50.
Router tersebut menjadi salah satu bagian paling penting dalam rekonstruksi serangan karena dari sinilah penyerang kemudian membuat jalur menuju jaringan private APN.
Menurut analisis yang dipublikasikan setelah laporan CERT, penyerang menggunakan koneksi SSH melalui router tersebut untuk bergerak lebih jauh ke jaringan.
Ada satu hal yang sangat menarik.
CERT Polska tidak menemukan bukti yang memungkinkan mereka memastikan bagaimana penyerang memperoleh kata sandi router tersebut.
Artinya, tidak ada satu kerentanan software atau CVE sederhana yang bisa ditunjuk sebagai “penyebab utama”.
Masalahnya lebih luas.
Arsitektur jaringan dan pengelolaan kredensial sama-sama berperan.
Dari Private APN ke Sistem OT
Begitu berada di private APN, penyerang mulai melakukan reconnaissance.
Mereka mencari perangkat lain yang dapat dijangkau dari jaringan tersebut.
Salah satu perangkat yang ditemukan adalah WAGO PFC200, sebuah programmable controller yang digunakan dalam lingkungan industri.
Antarmuka administrasinya dapat diakses dan kredensial bawaan perangkat ternyata masih digunakan.
Dari sinilah penyerang memperoleh jalan masuk ke lingkungan operasional pembangkit.
Ini merupakan contoh klasik bagaimana satu kelemahan yang terlihat sederhana dapat menjadi sangat berbahaya ketika digabungkan dengan kelemahan lain.
Tidak ada satu “lubang besar”.
Yang ada adalah rangkaian kesalahan kecil:
akses awal → VPN → router → private APN → controller → jaringan OT → PLC.
Satu per satu.
Dan akhirnya seluruh rantai tersebut membawa penyerang ke perangkat yang mengendalikan proses fisik.
Ketika IT Bertemu OT, Risikonya Berubah Total
Ada perbedaan mendasar antara membobol komputer kantor dengan mencapai sistem Operational Technology (OT).
Jika laptop kantor terkena serangan, konsekuensinya mungkin berupa pencurian data atau gangguan pekerjaan.
Tetapi ketika penyerang mencapai OT, mereka berhadapan dengan sistem yang mengendalikan proses fisik.
PLC, RTU, HMI, relay proteksi, pompa, turbin, dan perangkat industri lainnya tidak hanya memproses informasi.
Mereka dapat memengaruhi dunia nyata.
Itulah yang membuat serangan terhadap pembangkit Polandia begitu penting.
CERT Polska menyatakan bahwa serangan tersebut merupakan contoh eskalasi signifikan karena menyentuh sistem IT sekaligus perangkat industri fisik.
Serangan siber akhirnya tidak berhenti sebagai persoalan komputer.
Ia berubah menjadi persoalan energi.
Penyerang Tidak Terburu-buru
Salah satu bagian paling menarik dari kasus ini adalah lamanya reconnaissance.
Setelah memperoleh akses, penyerang tidak langsung menghentikan pembangkit.
Mereka mengamati lingkungan terlebih dahulu.
Mereka memetakan layanan dan perangkat yang tersedia, termasuk berbagai protokol dan layanan industri.
Tahap seperti ini penting karena lingkungan OT tidak bisa diperlakukan seperti jaringan IT biasa.
Penyerang harus memahami:
- perangkat apa yang tersedia,
- bagaimana perangkat tersebut berkomunikasi,
- sistem mana yang mengendalikan proses tertentu,
- dan tindakan apa yang dapat menghasilkan dampak fisik.
Pada 25 Desember, beberapa PLC Siemens telah diakses menggunakan protokol S7.
Empat hari kemudian, serangan destruktif terjadi.
Jarak waktu tersebut menunjukkan bahwa serangan bukan sekadar aktivitas acak.
Ada fase pengintaian sebelum eksekusi.
Hari Serangan: PLC Dihentikan
Pada 29 Desember, penyerang akhirnya menjalankan tindakan destruktif.
Beberapa PLC Siemens, termasuk keluarga S7-300, S7-1200, dan S7-1500, dipindahkan ke mode STOP dan kemudian dikunci menggunakan kata sandi.
Akibatnya, proses yang dikendalikan oleh sistem tersebut terganggu.
Turbin berhenti.
Sistem pengolahan air juga berhenti.
Produksi listrik dan panas dalam proses kogenerasi ikut terganggu.
Selain PLC, sejumlah perangkat komunikasi industri juga dimanipulasi.
Tujuh perangkat serial Moxa dan tiga switch dikembalikan ke konfigurasi pabrik. Konfigurasi jaringan dan kredensial perangkat kemudian diubah sedemikian rupa sehingga perangkat sulit diakses kembali.
Yang menarik, CERT menilai rangkaian tindakan tersebut kemungkinan dilakukan secara otomatis.
Ini memperlihatkan satu evolusi penting dalam serangan OT.
Penyerang tidak harus membuat malware yang sangat kompleks untuk menyebabkan kerusakan.
Mereka bisa menggunakan kemampuan administrasi perangkat yang sudah tersedia.
Serangan Tanpa Malware Justru Bisa Lebih Sulit Dideteksi
Inilah salah satu pelajaran terbesar dari insiden Polandia.
Dalam banyak kasus, orang membayangkan serangan siber sebagai sesuatu yang sederhana:
Hacker masuk → malware dipasang → sistem rusak.
Tetapi lingkungan OT tidak selalu bekerja seperti itu.
Jika penyerang sudah memiliki kredensial administrator, mereka dapat menggunakan fungsi resmi perangkat.
Menghentikan PLC adalah fungsi resmi.
Mengubah konfigurasi jaringan adalah fungsi resmi.
Mereset perangkat adalah fungsi resmi.
Menggunakan SSH adalah fungsi resmi.
Masalahnya bukan pada apakah fungsi tersebut berbahaya.
Masalahnya adalah siapa yang menggunakannya, dari mana, dan untuk tujuan apa.
Karena itu, pendekatan keamanan yang hanya bergantung pada antivirus atau deteksi malware memiliki keterbatasan besar dalam lingkungan industri.
Pertanyaan yang lebih penting adalah:
Apakah aktivitas administratif tersebut sesuai dengan konteks operasional?
Penyerang Bahkan Berusaha Menghapus Bukti
Setelah tindakan destruktif selesai, penyerang tidak sekadar meninggalkan jaringan.
Mereka berusaha membersihkan jalur masuk.
Beberapa perangkat dikembalikan ke kondisi tertentu dan sebagian log hilang sebagai akibat reset.
Dalam satu kasus, jejak pada perangkat WAGO juga mengalami kerusakan sehingga menyulitkan analisis forensik.
Router Teltonika kemudian di-reset.
FortiGate juga mengalami perubahan yang menghilangkan sebagian bukti aktivitas.
Secara teori, langkah seperti ini dapat membuat investigasi hampir mustahil.
Namun ada satu detail yang justru menyelamatkan penyelidikan.
Versi RutOS tertentu pada router Teltonika ternyata masih mempertahankan catatan peristiwa meskipun perangkat di-reset.
Dari sisa log tersebut, penyelidik dapat menemukan jejak login SSH.
Dengan kata lain, satu detail kecil dalam implementasi logging akhirnya membantu membuka keseluruhan rantai serangan.
Siapa di Balik Serangan Ini?
Untuk bagian ini, kita perlu berhati-hati.
CERT Polska tidak secara sederhana menyebut nama kelompok tertentu sebagai pelaku berdasarkan laporan lanjutan tersebut.
Dalam laporan awal, CERT mengaitkan infrastruktur serangan dengan aktivitas yang dikenal publik dengan beberapa nama berbeda, antara lain Static Tundra, Berserk Bear, Ghost Blizzard, dan Dragonfly. CERT menilai karakteristik infrastruktur dan ketertarikan kelompok tersebut terhadap sektor energi konsisten dengan aktivitas yang diamati. Namun CERT juga menyebut bahwa ini merupakan aktivitas destruktif pertama yang dipublikasikan dan dikaitkan dengan klaster tersebut.
Karena itu, lebih tepat mengatakan bahwa CERT Polska mengaitkan infrastruktur dan karakteristik aktivitas dengan klaster ancaman yang dikenal memiliki fokus pada sektor energi, daripada menyatakan secara mutlak bahwa satu kelompok tertentu telah terbukti melakukan seluruh serangan.
Perbedaan bahasa ini penting dalam penulisan intelijen.
Atribusi siber jarang sesederhana menemukan alamat IP lalu menunjuk pelaku.
Pelajaran Terbesar: Private APN Bukan Zona Aman
Dari seluruh kasus ini, ada satu kesimpulan yang sangat penting.
Private APN bukanlah security boundary secara otomatis.
Ia adalah mekanisme konektivitas.
Keamanan sebenarnya bergantung pada bagaimana jaringan tersebut dikonfigurasi dan bagaimana perangkat di belakangnya dilindungi.
CERT Polska melakukan survei terhadap organisasi yang menggunakan solusi serupa dan menemukan bahwa konfigurasi yang memungkinkan perangkat saling berkomunikasi ternyata cukup umum di Polandia. CERT juga memperkirakan pola serupa kemungkinan digunakan di negara lain.
Itulah yang membuat kasus Polandia relevan jauh melampaui batas negara tersebut.
Sebuah jaringan seluler tertutup dapat tetap memiliki risiko lateral movement jika semua perangkat di dalamnya saling percaya.
Apa yang Harus Dilakukan Operator Infrastruktur Kritis?
CERT Polska memberikan beberapa rekomendasi yang pada dasarnya mengarah pada satu prinsip:
Jangan pernah menganggap jaringan private sebagai jaringan tepercaya hanya karena tidak berada di internet publik.
Organisasi perlu:
- mengaktifkan client isolation pada private APN jika tersedia;
- membatasi komunikasi antarpelanggan atau antarkelompok perangkat;
- memperlakukan konektivitas APN sebagai jaringan yang tidak otomatis dipercaya;
- membatasi layanan administrasi yang dapat diakses dari jaringan tersebut;
- menerapkan segmentasi tambahan sebelum trafik mencapai OT;
- menghapus atau mengganti kredensial bawaan;
- membatasi akses remote management;
- memonitor aktivitas administratif;
- menyimpan log di lokasi yang tidak mudah dihapus oleh perangkat yang disusupi;
- dan melakukan audit konfigurasi jaringan secara berkala.
Rekomendasi CERT Polska secara khusus menempatkan audit konfigurasi private APN dan pengaktifan isolasi antarpelanggan sebagai prioritas.
Dan Ini Bukan Hanya Masalah Polandia
Bagian paling menarik dari laporan CERT Polska justru bukan nama perangkat atau protokol yang digunakan.
Melainkan arsitekturnya.
Model konektivitas seluler khusus digunakan di banyak sektor karena memang praktis untuk menghubungkan perangkat yang tersebar jauh.
Operator listrik dapat menggunakannya untuk perangkat jaringan.
Perusahaan air dapat menggunakannya untuk pompa dan sensor.
Perusahaan transportasi dapat menggunakannya untuk sistem lapangan.
Perusahaan keuangan dapat menggunakannya untuk terminal dan perangkat remote.
Artinya, pertanyaan yang diajukan CERT Polska sebenarnya berlaku jauh lebih luas:
Jika semua perangkat berada di jaringan yang sama, siapa saja yang sebenarnya menjadi tetangga kita?
Dan apakah kita benar-benar tahu apa yang dapat mereka akses?
Dari Polandia ke Indonesia: Ada Pelajaran yang Relevan
Kasus ini juga layak diperhatikan oleh operator infrastruktur di Indonesia.
Layanan konektivitas seluler privat untuk pelanggan korporasi dan perangkat tersebar bukanlah konsep yang asing di Indonesia. Namun fakta bahwa suatu koneksi menggunakan jaringan privat tidak boleh diterjemahkan sebagai “jaringan yang otomatis aman.”
Yang harus diperiksa adalah arsitekturnya.
Apakah setiap perangkat benar-benar terisolasi?
Apakah perangkat dari pelanggan atau lokasi berbeda dapat saling berkomunikasi?
Apakah jalur menuju perangkat OT memiliki firewall dan segmentasi tambahan?
Apakah management interface dapat diakses dari jaringan yang sama?
Apakah kredensial bawaan masih digunakan?
Dan yang paling penting:
Jika satu router lapangan berhasil dikuasai, seberapa jauh penyerang dapat bergerak?
Itulah pertanyaan yang seharusnya muncul dalam audit keamanan infrastruktur kritis.
Bukan sekadar:
“Apakah jaringan ini terhubung ke internet?”
Masalah Sebenarnya Bukan Private APN
Ada kecenderungan untuk menyimpulkan bahwa kasus ini membuktikan private APN tidak aman.
Kesimpulan itu terlalu sederhana.
Private APN bukan akar masalah tunggal.
Yang terlihat dari kasus Polandia adalah rantai kelemahan.
Satu akses awal membuka pintu.
Kredensial yang lemah memperluas akses.
Router menjadi titik pivot.
Konfigurasi APN memungkinkan komunikasi lateral.
Perangkat industri dengan kredensial bawaan memberikan pijakan berikutnya.
Kurangnya segmentasi memperbesar dampak.
Dan logging yang tidak memadai membuat investigasi semakin sulit.
Tidak ada satu peluru ajaib.
Justru itulah pelajaran pentingnya.
Serangan terhadap infrastruktur kritis modern sering kali berhasil bukan karena satu kerentanan spektakuler, tetapi karena beberapa kelemahan kecil dapat dirangkai menjadi satu jalur serangan yang utuh.
Infrastruktur Kritis Tidak Boleh Memiliki “Zona Aman” yang Tidak Pernah Diaudit
Insiden Polandia memberi peringatan yang jauh lebih besar daripada sekadar “ganti password bawaan”.
Di era ketika pembangkit, gardu, pompa air, sistem transportasi, dan fasilitas industri semakin terhubung, batas antara jaringan telekomunikasi, IT, dan OT menjadi semakin tipis.
Sebuah router yang terlihat seperti perangkat komunikasi biasa dapat menjadi pintu menuju sistem industri.
Sebuah jaringan yang disebut privat dapat menjadi jalur lateral.
Sebuah akun administrator dapat menjadi senjata.
Dan sebuah fungsi bawaan perangkat dapat digunakan untuk melakukan sabotase.
Itulah sebabnya keamanan infrastruktur kritis harus dibangun berdasarkan prinsip zero trust, segmentasi, monitoring, dan kemampuan mendeteksi perilaku abnormal—bukan berdasarkan label seperti “private”, “internal”, atau “tertutup”.
Kasus Polandia menunjukkan bahwa asumsi keamanan bisa menjadi titik buta paling mahal.
Pada akhirnya, penyerang tidak perlu menemukan pintu yang terkunci.
Mereka hanya perlu menemukan pintu yang selama ini kita anggap tidak perlu dikunci.
Dan dalam kasus ini, pintu itu bernama private APN.