Senin pagi, 27 Juli 2026, kota kecil Braham di Minnesota menghadapi masalah yang awalnya terlihat seperti gangguan teknis biasa.
Instalasi airnya mendadak tidak bisa dikendalikan seperti biasanya.
Braham hanya memiliki sekitar 1.700 penduduk. Namun ketika sistem kendali otomatis fasilitas air terganggu, sumur berhenti beroperasi dan menara air tidak bisa diisi selama lebih dari satu jam. Warga bahkan sempat diminta mengurangi penggunaan air sementara petugas berusaha memulihkan sistem.
Sekitar dua jam kemudian, fasilitas itu kembali berjalan.
Awalnya pemerintah kota hanya mengatakan instalasi berhenti karena penyebab yang belum diketahui.
Beberapa jam kemudian, ceritanya berubah.
Braham ternyata menjadi korban serangan siber.
Yang lebih mengejutkan, kota kecil itu bukan satu-satunya sasaran.
Minnesota IT Services kemudian mengungkap bahwa lebih dari 30 sistem air komunitas di Minnesota menjadi sasaran serangan terkoordinasi sepanjang malam 26 hingga 27 Juli.
Dalam beberapa hari, apa yang semula terlihat seperti gangguan lokal berubah menjadi peringatan serius bagi sektor air Amerika Serikat.
Dan penyebabnya bukan malware supercanggih.
Bukan pula eksploitasi zero-day.
Masalah besarnya justru jauh lebih sederhana:
perangkat yang mengendalikan pompa dan sistem air masih bisa dijangkau langsung dari internet.
Dari Kota Kecil, Serangan Menyebar ke Banyak Sistem Air
Braham bukan satu-satunya kota yang harus bergerak cepat.
Di Plymouth, kota dengan penduduk sekitar 80.000 jiwa, petugas memutus koneksi perangkat yang menggunakan jaringan seluler pada dua menara air dan sejumlah stasiun pompa air limbah.
Tujuannya sederhana: memutus jalan masuk sebelum penyerang bisa bergerak lebih jauh.
Meski komunikasi otomatis terganggu, petugas masih dapat menjalankan sebagian sistem secara manual. Kota tersebut menyatakan kualitas air tetap aman.
South St. Paul juga beralih ke prosedur manual setelah sebagian fungsi kendali otomatis terganggu. Sementara itu, Maple Plain sampai menetapkan keadaan darurat lokal agar proses penanganan dapat dilakukan lebih cepat.
Kasus kemudian tidak berhenti di Minnesota.
Pada 30 Juli 2026, FBI dan Environmental Protection Agency (EPA) mengeluarkan peringatan bersama. Kedua lembaga itu menyebut utilitas air dan air limbah di setidaknya tujuh negara bagian telah melaporkan kejadian serupa sejak 27 Juli.
Beberapa fasilitas mengalami gangguan nyata, termasuk hilangnya tekanan air dan banjir.
Kehilangan tekanan bukan masalah kecil. Ketika tekanan di dalam pipa turun, air dari luar jaringan berpotensi masuk melalui celah atau sambungan yang bermasalah. Karena itu, gangguan digital pada sistem kendali dapat berubah menjadi risiko operasional di dunia nyata.
Sampai laporan pemerintah yang tersedia saat itu, belum ada indikasi luas bahwa air minum berhasil dicemari.
Tetapi insiden ini sudah cukup untuk menunjukkan satu hal:
serangan siber tidak harus mencuri data untuk menjadi berbahaya.
Kadang cukup membuat pompa berhenti bekerja.
Targetnya Bukan Komputer Kantor, tetapi PLC
Perangkat yang menjadi sasaran adalah Programmable Logic Controller atau PLC buatan Rockwell Automation/Allen-Bradley, terutama seri MicroLogix 1100 dan MicroLogix 1400.
PLC mungkin terdengar asing bagi masyarakat umum. Namun di dunia industri, perangkat kecil ini punya peran besar.
PLC bisa digunakan untuk mengendalikan:
- pompa,
- katup,
- sensor,
- tekanan,
- motor,
- hingga berbagai proses otomatis di fasilitas air.
Jadi, ini bukan komputer kantor yang hanya menyimpan dokumen.
PLC berhubungan langsung dengan mesin.
Ketika laptop pegawai diretas, risikonya bisa berupa pencurian data.
Namun ketika PLC diretas, dampaknya dapat menjalar ke proses fisik.
Pompa bisa berhenti.
Katup bisa berubah posisi.
Operator bisa kehilangan kemampuan melihat kondisi lapangan.
Dan itulah yang terjadi dalam kampanye ini.
Peretas Tidak Perlu Menanam Malware
Bagian paling mengkhawatirkan dari serangan siber sistem air AS justru ada pada kesederhanaan caranya.
Menurut FBI dan EPA, sejumlah PLC tersebut dapat diakses langsung dari internet.
Setelah memperoleh akses, penyerang tidak harus memasang program jahat yang rumit.
Mereka cukup mengubah alamat IP dan password perangkat.
Hasilnya sangat efektif.
Operator yang sebelumnya bisa memantau dan mengendalikan peralatan mendadak kehilangan akses ke sistemnya sendiri.
Ironisnya, perintah yang digunakan bukan fungsi rahasia.
Mengubah password adalah fitur normal.
Mengubah konfigurasi jaringan juga fitur normal.
Masalahnya adalah siapa yang mendapatkan hak untuk menjalankan fungsi tersebut.
Inilah salah satu karakter serangan terhadap sistem industri modern.
Penyerang tidak selalu membutuhkan senjata siber baru.
Kadang mereka hanya membutuhkan akses administrator ke perangkat yang seharusnya tidak pernah terbuka untuk publik.
Satu Kesalahan Konfigurasi Bisa Menjadi Puluhan Pintu Masuk
FBI juga menemukan petunjuk lain yang tak kalah penting.
Beberapa korban memiliki pola konfigurasi jaringan yang mirip dan diduga berasal dari pemasangan pihak ketiga.
Ini terlihat sepele sampai kita membayangkan skalanya.
Misalnya sebuah perusahaan integrator memasang perangkat yang sama di 20 stasiun pompa.
Model PLC sama.
Cara koneksinya sama.
Konfigurasinya sama.
Akses jarak jauhnya juga sama.
Kalau satu konfigurasi ternyata lemah, organisasi tersebut bukan lagi memiliki satu masalah.
Mereka bisa memiliki 20 titik masuk dengan kelemahan yang sama.
Standardisasi memang membuat pengelolaan fasilitas lebih mudah.
Namun di sisi lain, kesalahan yang ikut distandardisasi dapat menyebar ke seluruh jaringan.
Dalam keamanan siber industri, satu konfigurasi buruk bisa berubah menjadi masalah massal.
Mengapa Banyak Perangkat Industri Terhubung lewat Jaringan Seluler?
Tidak semua pompa atau instalasi air berada di lokasi yang mudah dijangkau jaringan kantor.
Ada menara air di lokasi terpencil.
Ada stasiun pompa yang berjauhan.
Ada perangkat lapangan yang harus terus mengirim data.
Karena itu, banyak organisasi menggunakan modem seluler untuk menghubungkan peralatan tersebut ke pusat kendali.
Secara operasional, solusi ini sangat praktis.
Namun dari sisi keamanan, setiap jalur komunikasi tambahan berarti ada permukaan serangan baru yang harus dijaga.
Itulah sebabnya FBI dan EPA meminta operator memperkuat autentikasi, menyimpan log aktivitas, membatasi akses jarak jauh, dan memastikan perangkat industri tidak dapat dijangkau sembarang pihak.
Salah satu rekomendasinya adalah menggunakan jaringan seluler khusus seperti private APN.
Tetapi di sinilah muncul ironi.
Private APN Bukan Jaminan Aman
Pada awal Agustus 2026, CERT Polska menerbitkan laporan tentang serangan terhadap sektor energi Polandia.
Dalam kasus itu, penyerang justru berhasil memanfaatkan private APN sebagai bagian dari jalur menuju jaringan operasional pembangkit.
Bukan karena private APN selalu buruk.
Masalahnya ada pada pengaturannya.
Jaringan tersebut tidak memiliki pemisahan yang cukup antarpengguna. Akibatnya, perangkat yang sebenarnya milik organisasi berbeda dapat saling menjangkau.
Pelajarannya jelas.
Memindahkan PLC dari internet publik ke jaringan privat adalah langkah bagus, tetapi belum selesai.
Kalau semua perangkat di jaringan privat masih bebas saling berkomunikasi, kita hanya memindahkan masalah.
Jaringannya memang tidak lagi terbuka ke seluruh internet.
Namun penyerang yang berhasil masuk ke salah satu titik masih bisa bergerak ke perangkat lain.
Karena itu, kata “private” tidak boleh diterjemahkan sebagai “pasti aman.”
Ribuan PLC Masih Terlihat dari Internet
Riset Forescout Vedere Labs kemudian memperlihatkan seberapa besar persoalan ini.
Peneliti menyisir perangkat yang dapat ditemukan melalui layanan pencarian aset internet dan memeriksa sistem yang membuka jalur komunikasi EtherNet/IP yang umum digunakan perangkat Rockwell.
Hasilnya: ribuan perangkat masih terlihat dari internet.
Tidak semuanya otomatis milik utilitas air.
Tidak semuanya juga pasti bisa diretas.
Namun angka tersebut menunjukkan bahwa perangkat OT yang seharusnya mendapat perlindungan ketat masih dapat ditemukan melalui pemindaian internet biasa.
Bagi penyerang, kondisi semacam ini sangat menguntungkan.
Mereka tidak selalu perlu memilih sebuah kota terlebih dahulu.
Mereka bisa memindai internet.
Menemukan perangkat.
Melihat port yang terbuka.
Mengidentifikasi modelnya.
Lalu memilih target dengan konfigurasi yang paling lemah.
Internet akhirnya berubah menjadi semacam peta perangkat industri yang salah konfigurasi.
Perangkat Tua Membuat Masalah Makin Rumit
Masalah lain muncul dari usia perangkat.
Komputer kantor mungkin diganti setiap beberapa tahun.
PLC berbeda.
Perangkat industri bisa dipakai sangat lama karena penggantiannya membutuhkan biaya besar, pengujian, penghentian proses, dan sering kali perubahan pada sistem lain.
Salah satu model yang banyak disorot dalam kasus ini, MicroLogix 1100, bahkan sudah dihentikan produksinya.
Ketika perangkat sudah memasuki masa akhir dukungan, risiko menjadi lebih besar karena pembaruan keamanan tidak akan tersedia selamanya.
Karena itu, FBI mendorong operator untuk mendata perangkat yang sudah tua, menyiapkan rencana penggantian, serta mengisolasi aset yang belum bisa segera diganti.
Masalahnya memang sederhana untuk ditulis.
“Ganti perangkat lama.”
Namun bagi instalasi air yang beroperasi 24 jam sehari, kenyataannya jauh lebih rumit.
Apakah Iran Ada di Balik Serangan Ini?
Sejumlah pemberitaan kemudian mengarah pada kemungkinan keterlibatan aktor yang berhubungan dengan Iran.
Namun bagian ini harus dibaca dengan hati-hati.
Peringatan resmi FBI dan EPA pada 30 Juli tidak menetapkan Iran atau kelompok tertentu sebagai pelaku.
Memang ada latar belakang yang membuat dugaan tersebut muncul.
Kelompok yang dikaitkan dengan Iran sebelumnya pernah menargetkan sistem air Amerika. Salah satu kasus terkenal terjadi pada 2023 ketika kelompok CyberAv3ngers menyerang perangkat Unitronics di instalasi air Aliquippa, Pennsylvania.
Namun kemiripan target dan teknik belum cukup untuk menjadi bukti atribusi.
Dalam investigasi siber, mengetahui bagaimana penyerang masuk biasanya jauh lebih mudah daripada membuktikan siapa orang atau negara yang berada di belakangnya.
Karena itu, sampai ada bukti resmi yang lebih kuat, atribusinya masih harus diperlakukan sebagai dugaan.
Pelajaran Terbesarnya Justru Sangat Sederhana
Tidak ada teknologi futuristis yang diperlukan untuk memahami kasus ini.
Tidak ada AI yang mengambil alih instalasi air.
Tidak ada malware supercanggih yang belum pernah ditemukan.
Masalah utamanya jauh lebih dasar:
PLC yang seharusnya terlindungi masih bisa dijangkau dari internet.
Karena itu, langkah pertahanan pertama juga sebenarnya sederhana.
Jangan biarkan PLC terbuka langsung ke internet.
Batasi koneksi hanya dari perangkat yang memang dibutuhkan.
Gunakan autentikasi yang kuat.
Pisahkan jaringan kantor dari jaringan operasional.
Catat dan awasi koneksi jarak jauh.
Ganti perangkat yang sudah tidak lagi mendapat dukungan.
Dan yang sering dilupakan: pastikan fasilitas masih bisa dijalankan secara manual ketika sistem digital bermasalah.
Plymouth menunjukkan mengapa kemampuan terakhir itu penting.
Saat komunikasi otomatis terganggu, petugas masih dapat menjaga layanan berjalan dengan prosedur manual.
Inilah inti ketahanan siber.
Bukan hanya mencegah penyerang masuk.
Tetapi memastikan bahwa ketika pertahanan gagal, air tetap mengalir.
Indonesia Juga Perlu Bertanya Hal yang Sama
Serangan ini memang terjadi di Amerika Serikat.
Namun teknologi yang digunakan tidak hanya ada di Amerika.
PLC, SCADA, modem seluler, akses jarak jauh, integrator pihak ketiga, serta perangkat industri lama juga digunakan di berbagai negara, termasuk Indonesia.
Karena itu, pertanyaan pentingnya bukan:
“Apakah kita memakai PLC Rockwell yang sama?”
Pertanyaan yang lebih tepat adalah:
Apakah ada perangkat industri kita yang masih bisa ditemukan langsung dari internet?
Apakah akses jarak jauh benar-benar dibatasi?
Apakah password bawaan sudah diganti?
Apakah jaringan IT dan OT dipisahkan?
Apakah koneksi seluler diawasi?
Apakah perangkat tua yang sudah tidak mendapat pembaruan masih mengendalikan layanan penting?
Dan satu pertanyaan yang mungkin paling penting:
Kalau sistem otomatis lumpuh besok pagi, apakah operator kita masih bisa menjalankan fasilitas secara manual?
Serangan terhadap sistem air Amerika memperlihatkan bahwa infrastruktur kritis tidak selalu tumbang karena hacker menggunakan teknologi paling canggih.
Kadang mereka hanya membutuhkan satu perangkat yang salah konfigurasi.
Satu PLC.
Satu koneksi.
Satu password.
Dan satu pintu yang seharusnya sejak awal tidak pernah dibiarkan terbuka.