Enam badan federal Amerika Serikat, termasuk FBI, CISA, NSA, EPA, DOE, dan US Cyber Command, telah merilis pembaruan peringatan bersama mengenai aktivitas berbahaya yang dilancarkan oleh aktor ancaman bersponsor Iran. Serangan ini menargetkan Programmable Logic Controller (PLC) yang terhubung langsung ke internet dan memanipulasi tampilan Human-Machine Interface (HMI) untuk menyembunyikan jejak intrusi. Temuan ini mengingatkan kembali bahwa ancaman siber terhadap infrastruktur kritis bukan lagi hipotesis teoritis, melainkan operasi aktif yang sedang berlangsung.
APA YANG TERJADI?
Aktor ancaman yang berafiliasi dengan Iran secara aktif mengeksploitasi PLC dari berbagai vendor, antara lain Rockwell Automation, Allen-Bradley CompactLogix, Micro850, Schneider Electric, dan Siemens. Penyerang menggunakan perangkat lunak rekayasa yang sah (legitimate engineering software) bersama dengan kredensial yang valid untuk mengubah logika kendali (controller logic) dan memalsukan tampilan HMI. Dengan manipulasi ini, operator fasilitas infrastruktur kritis tidak dapat mendeteksi bahwa sistem mereka telah dikompromikan. Peringatan bersama tersebut menyoroti bahwa ini merupakan kelemahan arsitektural, bukan kerentanan yang dapat diperbaiki dengan patch perangkat lunak. Lalu lintas berbahaya telah diamati pada port 22 (SSH), 102 (ISO-TSAP/Siemens S7comm), 502 (Modbus TCP), 2222, dan 44818 (EtherNet/IP), yang menunjukkan eksploitasi pada protokol komunikasi industri standar.
DETAIL TEKNIS
Serangan ini tidak bergantung pada eksploitasi kerentanan zero-day atau bug perangkat lunak tertentu. Sebaliknya, penyerang memanfaatkan eksposur PLC ke internet publik dan penggunaan kredensial lemah atau yang bocor untuk mendapatkan akses ke perangkat. Setelah masuk, mereka menggunakan perangkat lunak rekayasa asli untuk memodifikasi logika kendali dan mengubah variabel tampilan pada HMI agar menunjukkan kondisi normal meskipun proses industri telah dimanipulasi. Port yang diamati—termasuk 502 untuk Modbus TCP dan 44818 untuk EtherNet/IP—merupakan protokol yang umum digunakan dalam lingkungan Industrial Control System (ICS) dan SCADA. Data dari Shodan menunjukkan puluhan ribu perangkat ICS dapat dijangkau langsung dari internet, memberikan permukaan serangan yang luas bagi aktor ancaman.
DAMPAK TERHADAP INDONESIA
Indonesia memiliki infrastruktur kritis yang padat, mulai dari pembangkit listrik, pengolahan air, kilang minyak, hingga fasilitas transportasi, banyak di antaranya menggunakan PLC dan SCADA dari vendor yang sama. Peraturan Menteri Komunikasi dan Informatika No. 5 Tahun 2024 tentang Tata Kelola Keamanan Siber Sektor Infrastruktur Informasi Vital menuntut perlindungan menyeluruh, namun implementasi di lapangan masih belum merata. BSSN telah menetapkan beberapa sektor sebagai infrastruktur informasi vital nasional, dan kelemahan arsitektural semacam ini berpotensi mengancam ketahanan nasional jika dieksploitasi oleh aktor ancaman asing. Selain itu, kebocoran data kredensial pada platform lokal dapat memberikan pintu masuk bagi penyerang untuk menargetkan fasilitas industri Indonesia yang terhubung ke internet. Ketergantungan pada peralatan industri asing juga menimbulkan risiko supply chain jika vendor tidak secara transparan mengungkapkan konfigurasi keamanan bawaan.
REKOMENDASI MITIGASI
Pengelola infrastruktur kritis harus segera melakukan audit eksposur PLC dan perangkat ICS mereka ke internet publik menggunakan platform seperti Shodan atau Censys. Segmen jaringan operasional teknologi (OT) harus dipisahkan sepenuhnya dari jaringan informasi teknologi (IT) melalui firewall dan jump host yang ketat. Kredensial akses ke PLC harus dirotasi secara berkala, dilindungi dengan multi-factor authentication (MFA), dan tidak disimpan dalam teks biasa (plaintext) pada perangkat lunak rekayasa. Monitoring lalu lintas pada port industri seperti 502, 102, dan 44818 harus dilakukan secara proaktif menggunakan sistem deteksi intrusi khusus ICS (IDS). BSSN dan sektor terkait perlu mengembangkan pedoman hardening khusus untuk perangkat PLC yang digunakan di Indonesia berdasarkan panduan CISA dan IEC 62443.
Analisa Retasan
Dari sudut pandang teknis, serangan ini merupakan contoh klasik dari ancaman yang memanfaatkan kelemahan desain dan konfigurasi, bukan cacat perangkat lunak. Dengan menggunakan perangkat lunak rekayasa yang sah dan kredensial yang valid, penyerang beroperasi seperti pengguna otorisasi, sehingga mekanisme deteksi berbasis tanda tangan (signature-based detection) menjadi tidak efektif. Manipulasi tampilan HMI merupakan teknik tingkat lanjut yang menunjukkan pemahaman mendalam terhadap proses operasional target, mirip dengan strategi yang pernah digunakan pada serangan Stuxnet dan Triton. Kurangnya segmentasi jaringan OT/IT dan eksposur langsung perangkat industri ke internet adalah akar masalah yang memungkinkan skalabilitas serangan ini.
Temuan ini memiliki paralel kuat dengan serangan Stuxnet (2010) yang menargetkan PLC Siemens di fasilitas nuklir Natanz, Iran, serta serangan Triton/Trisis (2017) yang memanipulasi Safety Instrumented System (SIS) di fasilitas petrokimia. Meskipun serangan terbaru ini tidak menggunakan malware canggih seperti Stuxnet, modus operandi manipulasi tampilan dan logika kendali menunjukkan evolusi taktik yang sama. Aktor ancaman Iran sendiri pernah menjadi target operasi siber spektakuler, kini mereka tampaknya menerapkan pelajaran dari insiden tersebut untuk merancang serangan yang lebih silau dan sulit dideteksi.
Bagi Indonesia, potensi serangan terhadap infrastruktur kritis harus menjadi perhatian utama dalam agenda keamanan siber nasional. BSSN perlu memperkuat kemampuan deteksi dan respons insiden pada sektor OT, yang secara tradisional kurang mendapat perhatian dibandingkan keamanan TI. Disarankan untuk membentuk tim respons insiden khusus infrastruktur kritis (ICS-CERT nasional) yang bekerja sama dengan operator sektor vital untuk melakukan simulasi serangan (red teaming) secara berkala. Pemerintah juga harus mendorong adopsi standar keamanan ICS internasional, seperti IEC 62443, melalui insentif regulasi dan sertifikasi. Kesadaran bahwa ancaman siber tidak lagi terbatas pada pencurian data, melainkan dapat membahayakan keselamatan fisik masyarakat, harus menjadi landasan pengambilan kebijakan keamanan siber di Indonesia.
Sumber: Baca selengkapnya
