Enam agen federal AS, termasuk FBI, CISA, NSA, EPA, Departemen Energi, dan U.S. Cyber Command, memperbarui joint advisory AA26-097A yang memperingatkan eksploitasi aktif terhadap Programmable Logic Controller (PLC) yang terhubung ke internet di sektor infrastruktur kritis Amerika Serikat, dengan dampak operasional dan kerugian finansial yang telah dikonfirmasi.
APA YANG TERJADI?
Penyerang berbasis negara dan APT secara aktif memindai internet untuk menemukan PLC yang terexpos dan terhubung menggunakan perangkat lunak rekayasa legitim, seperti Studio 5000 Logix Designer, dengan kredensial yang valid. Setelah masuk, mereka mengubah logika kontrol yang menjalankan peralatan fisik dan dalam beberapa kasus memodifikasi tampilan Human-Machine Interface (HMI) sehingga operator tidak dapat mendeteksi anomali secara visual. Serangan ini tidak memerlukan eksploitasi kerentanan perangkat lunak, melainkan memanfaatkan kelemahan arsitektural di mana PLC dideploy tanpa segmentasi jaringan yang memadai, autentikasi gating, atau pengerasan akses jarak jauh.
DETAIL TEKNIS
Advisory asli April 2026 berfokus pada Rockwell Automation / Allen-Bradley CompactLogix dan Micro850, namun pembaruan Juli 2026 memperluas cakupan ke Schneider Electric dan Siemens. Port yang diamati dalam aktivitas ini meliputi 22 (SSH), 102 (ISO-TSAP/S7comm), 502 (Modbus TCP), 2222 (EtherNet/IP implicit messaging), dan 44818 (EtherNet/IP explicit messaging). Data scan Shodan menunjukkan lebih dari 74.000 perangkat ICS dapat dijangkau langsung dari internet publik. Selain itu, penyerang menyembunyikan perubahan malicious di dalam reusable code modules, yang ketika digunakan kembali akan menyebarkan modifikasi ke seluruh operasi, mengubah library rekayasa tepercaya menjadi vektor serangan rantai pasok internal.
DAMPAK TERHADAP INDONESIA
Indonesia memiliki infrastruktur kritis yang sangat bergantung pada sistem ICS/SCADA, mulai dari PLN, Pertamina, PDAM, hingga fasilitas pengolahan limbah dan transportasi. Banyak sistem ini menggunakan perangkat dari vendor yang sama (Rockwell, Schneider, Siemens) dan sering kali dideploy dengan konektivitas internet yang tidak memadai atau konfigurasi default. UU ITE dan aturan BSSN mengenai perlindungan infrastruktur informasi vital menekankan kebutuhan keamanan, tetapi implementasi di lapangan masih tertinggal. Serangan terhadap PLN pada 2024 yang menyebabkan pemadaman dan serangan ransomware terhadap Pusat Data Nasional menunjukkan bahwa lanskap ancaman Indonesia rentan terhadap serangan siber yang berdampak fisik. Jika pola PLC exploitation yang tidak memerlukan kerentanan ini diterapkan terhadap target Indonesia, konsekuensinya bisa berupa gangguan pasokan listrik, kerusakan peralatan industri, atau kontaminasi sistem air.
REKOMENDASI MITIGASI
Organisasi harus segera menghapus PLC dari exposure internet langsung dan mengarahkan semua akses jarak jauh melalui secure gateway atau jump host dengan MFA. Gunakan switch mode fisik ke posisi RUN dan hanya beralih ke PROGRAM selama pemeliharaan yang diawasi. Aktifkan perlindungan pemrograman pada software key switches sesuai panduan vendor. Lakukan backup logika PLC secara offline pada media fisik terpisah. Perkuat perimeter OT dengan memblokir port yang tidak perlu, menonaktifkan layanan tidak terpakai seperti Telnet, dan memantau perubahan konfigurasi terhadap baseline yang diketahui baik. Vendor industri harus didorong untuk tidak mengekspos antarmuka administratif ke internet secara default dan menyediakan MFA tanpa biaya tambahan.
Analisa Retasan
Advisory AA26-097A menggarisbawahi paradigma berbahaya dalam keamanan Operational Technology (OT): kepercayaan implisit terhadap konektivitas jaringan untuk perangkat yang mengontrol proses fisik. Fakta bahwa penyerang dapat terhubung ke PLC menggunakan perangkat lunak rekayasa legitim dengan kredensial valid menunjukkan bahwa batas antara IT dan OT telah terkikis, dan banyak organisasi masih memperlakukan jaringan kontrol sebagai zona tepercaya. Modifikasi terhadap HMI untuk menyembunyikan perubahan logika adalah evolusi taktis yang jauh lebih berbahaya dari sekadar defacement atau disruption, karena menciptakan titik buta permanen bagi operator. Teknik ini mengingatkan pada serangan Stuxnet tahun 2010 yang merusak sentrifugal uranium Iran melalui manipulasi PLC Siemens dan penipuan tampilan sensor, meskipun dalam kasus ini penyerang tidak memerlukan malware zero-day karena sistem sudah terexpos ke internet. Bahaya lainnya adalah reusable code modules yang terkompromi, yang mengubah library internal menjadi vektor serangan rantai pasok dalam ekosistem OT.
Dalam konteks Indonesia, di mana sektor energi dan utilitas masih bergantung pada vendor asing dan seringkali kekurangan tenaga ahli OT security, ancaman ini sangat nyata. Ketergantungan pada konfigurasi default, kurangnya segmentasi jaringan, dan absensi pemantauan kontinu terhadap perubahan logika PLC merupakan celah sistemik yang tidak memerlukan eksploitasi canggih untuk dimanfaatkan. Serangan terhadap infrastruktur kritis di Indonesia bukan lagi skenario hipotetis; pemadaman listrik akibat gangguan siber pada 2024 telah membuktikan kerentanan lapangan. Jika tidak ada perbaikan arsitektural segera, serangan serupa dapat menyebabkan dampak fisik yang merusak infrastruktur vital nasional, terutama mengingat banyaknya PLN gardu induk dan stasiun pengolahan air yang masih memiliki antarmuka administratif yang dapat dijangkau dari jaringan korporat bahkan internet.
Rekomendasi yang paling penting dari advisory ini adalah bahwa ancaman ini tidak memerlukan patch perangkat lunak karena bukan kerentanan kode, melainkan kelemahan arsitektural. Ini berarti solusi harus bersifat organisasional dan arsitektural: segmentasi jaringan, hardening akses, MFA, dan monitoring baseline. Vendor juga dituntut untuk berhenti mengekspos antarmuka administratif secara default dan berhenti membebankan biaya tambahan untuk fitur keamanan dasar. Bagi Indonesia, pelajaran ini harus menjadi pendorong revisi kontrak pengadaan sistem ICS, di mana persyaratan keamanan harus menjadi klausul wajib dan bukan opsional. Kesiapan SOCSIRT nasional dalam mendeteksi anomali protokol industri seperti Modbus TCP dan S7comm pada port 102, 502, dan 44818 akan menjadi indikator kunci kematangan pertahanan siber infrastruktur kritis Indonesia.
Sumber: Trend Micro
