Ancaman Siber AS: Peretas Iran Incar Sistem PLC Siemens di Infrastruktur Air

Washington, D.C. — Sejumlah lembaga pemerintah Amerika Serikat mengeluarkan peringatan keamanan siber pada Rabu (19/8) bahwa peretas yang belum teridentifikasi tengah berupaya membobol perangkat buatan Siemens yang digunakan untuk memantau dan mengoperasikan fasilitas air serta infrastruktur kritis lainnya. Peringatan ini muncul di tengah meningkatnya insiden siber yang menargetkan sistem air lokal di berbagai negara bagian dalam beberapa pekan terakhir, yang oleh para ahli keamanan diduga terkait dengan Iran.

Advisory yang diterbitkan bersama oleh Badan Keamanan Nasional (NSA), FBI, Departemen Energi, Badan Perlindungan Lingkungan (EPA), dan Badan Keamanan Siber dan Infrastruktur (CISA) menggambarkan adanya "ancaman aktif" terhadap seluruh rangkaian Programmable Logic Controllers (PLC) Siemens S7 Series. Perangkat ini digunakan secara luas di sektor manufaktur, energi, air dan limbah, kimia, makanan, serta pertanian. Menurut peringatan tersebut, kompromi terhadap perangkat ini dapat mengganggu proses penting, menyebabkan insiden keselamatan, waktu henti operasional, kerusakan peralatan, serta kebocoran data sensitif.

Yang lebih mengkhawatirkan, lembaga-lembaga tersebut mengungkapkan bahwa para peretas kini menggunakan kecerdasan buatan (AI) untuk secara drastis mengurangi keahlian teknis dan waktu yang dibutuhkan untuk mengembangkan eksploitasi yang berhasil. Hal ini menandakan eskalasi kemampuan serangan siber yang sebelumnya membutuhkan sumber daya besar, kini dapat dilakukan oleh aktor dengan kemampuan lebih rendah. CISA sebelumnya telah mengeluarkan peringatan pada 30 Juli tentang peningkatan signifikan peretasan terhadap PLC, menyusul advisory 22 Juli yang menyebut peretas afiliasi Iran mengeksploitasi perangkat buatan Siemens, Rockwell Automation, dan Schneider Electric.

Meskipun pejabat federal belum secara resmi mengaitkan serangan terbaru pada sistem air lokal dengan Iran, Presiden Donald Trump pada 31 Juli menyatakan tidak percaya Iran terlibat. Ia justru menyalahkan Minnesota, negara bagian pertama yang melaporkan gelombang setidaknya 30 insiden siber terkait air pada 26-27 Juli. Pernyataan ini memicu perdebatan mengenai atribusi serangan siber dan pentingnya bukti teknis yang kuat sebelum menarik kesimpulan diplomatik.

Bagi Indonesia, peringatan ini menjadi pengingat akan kerentanan infrastruktur kritis nasional. Banyak perusahaan air minum, pengelola listrik, dan pabrik di Indonesia menggunakan perangkat otomasi serupa buatan Siemens, Schneider, atau Rockwell. Jika peretas mampu menembus sistem di AS, bukan tidak mungkin mereka mengalihkan perhatian ke negara berkembang dengan pertahanan siber yang lebih lemah. Badan Siber dan Sandi Negara (BSSN) perlu segera melakukan audit menyeluruh terhadap penggunaan PLC di sektor-sektor vital dan meningkatkan kolaborasi dengan vendor untuk menutup celah keamanan.

Menurut analis keamanan siber, penggunaan AI dalam serangan siber adalah game changer. Sebelumnya, mengembangkan exploit untuk PLC membutuhkan keahlian pemrograman tingkat lanjut dan pemahaman mendalam tentang protokol industri. Kini, dengan bantuan AI, proses tersebut dapat dipersingkat dari berbulan-bulan menjadi hitungan hari. Hal ini berarti ancaman tidak hanya datang dari negara-negara dengan kemampuan siber maju, tetapi juga dari kelompok kriminal atau hacktivist yang memanfaatkan alat AI yang tersedia secara komersial.

Siemens sendiri belum memberikan tanggapan resmi atas peringatan tersebut. Namun, dalam beberapa tahun terakhir, perusahaan asal Jerman itu telah meningkatkan investasi dalam keamanan siber untuk produk-produk industrialnya. Mereka juga aktif merilis patch dan pembaruan firmware untuk menutup kerentanan yang ditemukan. Meski demikian, tantangan terbesar adalah banyaknya instalasi PLC yang sudah beroperasi selama bertahun-tahun dan belum tentu mendapatkan pembaruan rutin, terutama di negara berkembang.

Ke depan, pertanyaan yang mengemuka adalah: apakah negara-negara seperti Indonesia akan mampu merespons dengan cepat terhadap ancaman yang semakin canggih ini? Regulasi keamanan siber untuk infrastruktur kritis masih belum komprehensif, dan kesadaran akan pentingnya keamanan siber di sektor industri masih rendah. Jika tidak ada langkah konkret, bukan tidak mungkin insiden serupa akan terjadi di dalam negeri, dengan dampak yang jauh lebih besar karena sistem air dan listrik menjadi tulang punggung kehidupan masyarakat.