Serangan Siber Sistem Air Kota AS: FBI-EPA Bunyi Alarm Nasional
ORBITINDONESIA.COM – Serangan siber sistem air kota di Amerika Serikat dilaporkan terjadi di sedikitnya tujuh negara bagian dalam sepekan ini. FBI dan EPA memperingatkan para operator utilitas bahwa peretas berupaya mengganggu infrastruktur air kritis yang menopang kehidupan sehari-hari.
Terjemahan artikel sumber: Serangan siber yang menargetkan sistem air kota dilaporkan terjadi di sedikitnya tujuh negara bagian pekan ini. FBI dan Badan Perlindungan Lingkungan (EPA) memperingatkan utilitas di seluruh negeri bahwa peretas mencoba mengganggu infrastruktur air kritis.
Dalam pengumuman layanan publik pada Kamis, kedua lembaga menyatakan utilitas air dan air limbah telah melaporkan insiden kepada FBI. Sejumlah aktivitas berbahaya disebut telah menurunkan kualitas operasi pengelolaan air, meski negara bagian yang terdampak tidak disebutkan.
Peringatan itu muncul setelah peretas menarget lebih dari 30 fasilitas air kota di Minnesota dalam sebuah serangan yang memiliki ciri-ciri campur tangan Iran, menurut seorang pejabat penegak hukum. Kasus tersebut masih diselidiki.
Juru bicara lembaga layanan teknologi informasi Minnesota mengatakan tidak ada indikasi pelanggaran itu mencemari pasokan air kota. CISA dalam peringatan terpisah menyebut sebagian serangan besar pada infrastruktur air telah memicu imbauan merebus air dan operasi manual berkepanjangan, tanpa menyebut lokasi.
Pejabat Minnesota dan pemerintah AS belum mengaitkan aktivitas berbahaya itu secara terbuka kepada pelaku tertentu. FBI dan EPA juga tidak mengidentifikasi siapa dalang pelanggaran di negara bagian lain.
Presiden Donald Trump, berbicara kepada wartawan pada Jumat di Camp David, menyalahkan para pemimpin Minnesota dan Gubernur Tim Walz. Trump menyebut Minnesota “sangat tidak kompeten” dan mengejek klaim “Oh, itu Iran,” seraya berkata Iran “punya masalah lebih besar daripada mengurusi Minnesota.”
Menanggapi permintaan komentar, Walz menyatakan Trump tahu siapa yang bertanggung jawab dan tahu negara bagian lain juga terkena. Walz menambahkan, “Inilah bentuk perang modern,” dan itu menunjukkan “tidak ada rencana untuk memenangkan perang dengan Iran.”
Michigan dan Rapid City, South Dakota, juga mengonfirmasi insiden siber terkait sistem air. Michigan menerima “sejumlah kecil laporan” yang menunjukkan aktivitas konsisten dengan peretasan yang dijelaskan lembaga federal, sementara Rapid City menyebut ada insiden pada salah satu stasiun angkat (lift station) yang digunakan dalam sistem air limbah.
Penasihat federal menyebut para pelaku menarget merek tertentu dari sistem kontrol yang digunakan utilitas air kota. Namun FBI dan EPA mendesak operator semua sistem untuk mengambil langkah pencegahan.
Awal pekan ini, Departemen Sumber Daya Alam Wisconsin mengeluarkan buletin yang menyatakan pejabat intelijen percaya sistem di Wisconsin mungkin rentan terhadap koneksi dari pelaku siber berbahaya. Wisconsin menyebut ancaman masih berlangsung dan memerlukan tindakan segera untuk mencegah dampak serius.
Juru bicara Wisconsin menegaskan pejabat intelijen belum mengonfirmasi adanya koneksi ke sistem Wisconsin, tetapi khawatir sistem dapat rentan. Dalam peringatannya, Wisconsin menyebut Minnesota melaporkan peretas sempat menurunkan tekanan sistem, memicu alarm dan respons penegak hukum.
Melalui email, juru bicara lembaga TI Minnesota, Emily Zimmer, membantah karakterisasi Wisconsin. Zimmer mengatakan Minnesota tidak melaporkan pelaku menurunkan tekanan di banyak sistem atau perubahan tekanan memicu respons penegak hukum.
Menurut lembaga federal, peretas mengakses perangkat yang terekspos internet dari jarak jauh, mengubah alamat IP dan kata sandi, serta membuat utilitas kehilangan kemampuan pemantauan dan kendali. Penasihat itu meminta operator menghapus PLC dari paparan internet langsung, menempatkannya di balik gateway aman dan firewall, memakai kata sandi kuat, serta membatasi komunikasi perangkat melalui access control list.
Zimmer menekankan atribusi membutuhkan analisis cermat bukti teknis dan intelijen ancaman yang lebih luas. Ia menyebut mitra federal berada pada posisi terbaik untuk memimpin pekerjaan itu.
Pelanggaran di Minnesota terjadi beberapa hari setelah pejabat AS memperingatkan peretas yang didukung Iran menarget infrastruktur kritis saat konflik militer Washington-Teheran meningkat. Dalam peringatan publik 22 Juli, CISA bersama FBI dan lembaga lain meminta perusahaan memperkuat pertahanan karena peretas terkait Teheran mencoba membobol perangkat otomatis daring untuk mengelola sistem infrastruktur.
Badan intelijen AS juga memperingatkan Iran kian mampu dan bersedia melakukan operasi siber agresif. Mereka menyebut Iran sempat mencoba menarget sistem air pada 2023.
Bryson Bort, pendiri perusahaan keamanan siber Scythe dan pakar keamanan sistem kontrol industri, mengatakan pengungkapan FBI menegaskan perlunya kesadaran publik tentang risiko pelanggaran infrastruktur. “Kita harus siap,” kata Bort, karena serangan seperti ini menunjukkan ada pihak yang ingin mencelakai AS saat ini.
Serangan siber sistem air kota bukan sekadar isu TI, melainkan isu keselamatan publik yang langsung menyentuh rumah tangga. Ketika utilitas kehilangan kemampuan memantau dan mengendalikan proses, risiko operasional meningkat walau tidak selalu berujung kontaminasi.
Pola yang disebut FBI-EPA menonjol: akses jarak jauh ke perangkat yang menghadap internet, perubahan IP dan kata sandi, lalu hilangnya kontrol. Ini menunjukkan titik lemah klasik pada infrastruktur lama, yakni perangkat OT yang tidak dirancang untuk terhubung bebas ke internet.
Fakta bahwa CISA menyebut sebagian serangan memicu “boil water notices” dan operasi manual berkepanjangan adalah indikator dampak nyata. Bahkan tanpa racun di air, gangguan tekanan, aliran, dan proses disinfeksi bisa memaksa kota mengeluarkan peringatan kesehatan.
Kasus Minnesota memperlihatkan kabut atribusi yang sering dimanfaatkan pelaku. Ada “ciri-ciri” campur tangan Iran menurut penegak hukum, tetapi pemerintah belum menunjuk pelaku secara resmi, karena bukti teknis harus dipadankan dengan intelijen strategis.
Di sisi lain, perbedaan narasi antara Wisconsin dan Minnesota mengungkap masalah komunikasi risiko. Ketika satu pihak menyebut tekanan sempat turun dan memicu respons aparat, sementara pihak lain membantah, publik berada dalam ruang informasi yang rawan dipolitisasi.
Rekomendasi teknis federal sebenarnya jelas dan terukur: PLC jangan terekspos langsung, gunakan gateway aman, firewall, kata sandi kuat, dan access control list. Ini terdengar sederhana, tetapi bagi utilitas kecil yang kekurangan SDM keamanan, penerapannya sering tersendat oleh anggaran dan ketergantungan vendor.
Serangan beruntun di banyak negara bagian juga mengindikasikan kampanye skala luas, bukan insiden tunggal. Jika benar menarget merek tertentu sistem kontrol, maka ini mirip strategi “supply-chain by popularity,” yakni mengejar platform yang dipakai massal agar dampaknya cepat menyebar.
Konflik geopolitik memperbesar peluang eskalasi, karena infrastruktur sipil kerap menjadi medan tekan psikologis. Peringatan 22 Juli dari CISA-FBI tentang peretas terkait Teheran yang membidik perangkat otomatis daring memperkuat konteks bahwa ancaman tidak berdiri sendiri.
Kontroversi komentar Trump yang menyebut Minnesota “tidak kompeten” memperlihatkan bagaimana keamanan air mudah ditarik menjadi panggung politik. Namun menyederhanakan serangan sebagai kesalahan lokal mengaburkan realitas bahwa ancaman ini lintas negara bagian dan bersifat sistemik.
Pernyataan Walz bahwa “inilah bentuk perang modern” menangkap inti persoalan, tetapi tetap menyisakan pertanyaan: apakah pemerintah sudah memperlakukan utilitas air seperti aset pertahanan yang butuh standar minimum wajib. Jika standar keamanan hanya berupa imbauan, maka kota-kota kecil akan selalu menjadi mata rantai terlemah.
Yang paling mengkhawatirkan bukan hanya siapa pelakunya, melainkan betapa mudahnya perangkat penting terekspos internet. Selama OT diperlakukan seperti kantor biasa, bukan lingkungan berisiko tinggi, peretas akan terus menemukan jalan masuk yang murah dan berulang.
Kasus ini juga menantang cara kita memaknai “tidak ada kontaminasi.” Tidak tercemarnya air hari ini tidak otomatis berarti sistem aman besok, karena serangan yang menguji akses dan kontrol sering kali menjadi tahap pemetaan sebelum sabotase yang lebih serius.
Serangan siber sistem air kota mengajarkan satu hal: air bersih kini bergantung pada disiplin keamanan digital, bukan hanya pipa dan klorin. Di tengah ketidakpastian atribusi dan tarik-menarik politik, langkah paling rasional adalah memperkecil permukaan serangan dengan kontrol teknis yang tegas dan audit yang rutin.
Pertanyaannya sederhana namun mendesak: berapa banyak utilitas yang masih menempatkan PLC “menghadap internet” karena alasan kemudahan. Jika jawaban itu tidak segera berubah, maka peringatan FBI-EPA hanya akan menjadi berita berulang, sampai suatu hari berubah menjadi krisis nyata.
(Orbit dari berbagai sumber, 13 Agustus 2026)
