Pada akhir Juli 2026 terjadi rangkaian serangan siber terhadap sistem penyedia air dan air limbah di negara bagian Minnesota, Amerika Serikat, yang berdampak pada lebih dari 30 komunitas. Serangan menyasar sistem operasional fasilitas air, dan sejumlah fasilitas terdampak terpaksa beralih ke pengoperasian manual.

Yang membuat peristiwa ini layak diperhatikan bukan lokasinya, melainkan jenis sistem yang diserang: bukan sistem perkantoran, melainkan sistem kendali operasional yang menjalankan proses fisik — pompa, katup, dan takaran bahan kimia.

Mengenal SCADA dan Lingkungan OT

SCADA (Supervisory Control and Data Acquisition) adalah sistem untuk memantau dan mengendalikan proses industri secara langsung — misalnya pada pembangkit listrik, pengolahan air, minyak dan gas, serta manufaktur. Sistem ini menghubungkan perangkat lapangan seperti Programmable Logic Controller (PLC) dan Remote Terminal Unit (RTU) dengan pusat kendali atau Human-Machine Interface (HMI).

Lingkungan semacam ini biasa disebut OT (Operational Technology), untuk membedakannya dari TI perkantoran. Perbedaannya bukan sekadar istilah: bila sistem TI gagal, layanan terganggu; bila sistem OT gagal, proses fisik yang terganggu — air berhenti mengalir, takaran bahan kimia meleset, pompa berhenti bekerja.

Port dan Protokol yang Perlu Dikenali

Komunikasi antarkomponen di lingkungan SCADA/OT memakai protokol industri dengan port bawaan masing-masing. Mengenalinya penting karena port-port ini tidak seharusnya terjangkau dari internet:

Daftar ini adalah nilai bawaan yang umum. Penggunaan port pada perangkat yang benar-benar terpasang di instansi Anda tetap perlu divalidasi ulang, karena sebagian dapat dikonfigurasi berbeda.

Mengapa Sistem OT Sering Lebih Rapuh

• Umur pakainya panjang. Perangkat kendali dirancang untuk beroperasi belasan tahun, sehingga banyak yang berjalan dengan perangkat lunak lama yang sudah tidak didukung.
• Tidak bisa sembarang dimatikan untuk ditambal. Menghentikan proses pengolahan air demi pembaruan bukan keputusan teknis semata, melainkan keputusan layanan publik.
• Protokol industri banyak yang tidak mengenal autentikasi. Sejumlah protokol OT dirancang pada masa ketika jaringan dianggap tertutup, sehingga perintah yang sampai ke perangkat langsung dijalankan tanpa memverifikasi siapa pengirimnya.
• Batas antara TI dan OT kian kabur. Kebutuhan pemantauan jarak jauh membuat jaringan OT tersambung ke jaringan kantor — dan dari sana, ke internet.

Apa Artinya bagi Kutai Timur

Sistem kendali operasional bukan hanya milik industri besar. Di lingkungan pemerintah daerah, jenis sistem serupa dapat ditemui pada pengelolaan air minum, instalasi pengolahan air limbah, pengendalian kelistrikan gedung, sistem pendingin ruang peladen, serta sistem pemantauan gedung dan lalu lintas. Langkah kesiapsiagaan yang dapat dimulai:

1. Inventarisasi lebih dahulu. Daftarkan sistem kendali yang dimiliki beserta perangkat, merek, versi, dan siapa yang memeliharanya. Banyak instansi tidak dapat memulai pengamanan OT semata-mata karena belum tahu apa yang dimilikinya.
2. Pastikan tidak ada perangkat kendali yang terpapar langsung ke internet. Periksa apakah port-port pada tabel di atas dapat dihubungi dari luar. Ini pemeriksaan yang paling cepat memberi hasil.
3. Pisahkan jaringan OT dari jaringan perkantoran dengan batas yang tegas, bukan sekadar VLAN yang saling terbuka.
4. Kelola akses jarak jauh vendor. Akses pemeliharaan dari pihak ketiga sebaiknya dibuka hanya saat dibutuhkan, tercatat, dan ditutup kembali setelah selesai — bukan dibiarkan permanen.
5. Siapkan prosedur operasi manual. Fasilitas di Minnesota dapat terus melayani warga karena mampu beralih ke pengoperasian manual. Kesinambungan layanan adalah bentuk pertahanan yang nyata.
6. Ganti kredensial bawaan pabrik pada perangkat kendali dan antarmuka pemantauan. Kredensial bawaan untuk perangkat industri tersedia bebas di internet.
7. Laporkan indikasi gangguan ke KUTIM-CSIRT melalui kanal pelaporan resmi. BSSN selaku National-CSIRT meminta seluruh CSIRT melakukan identifikasi dan deteksi indikasi kampanye ini pada aset internal, serta melaporkan bila ditemukan.

Referensi

• BSSN/Id-SIRTII – Laporan Analisis Insiden Serangan Siber pada Pengelolaan Air Minnesota (publikasi sumber, memuat laporan analisis lengkap)
• WaterISAC – Water Information Sharing and Analysis Center
• CISA – Industrial Control Systems
• NIST SP 800-82 Rev. 3 – Guide to Operational Technology (OT) Security