Serangan Siber Terkoordinasi Ganggu Layanan Air di Minnesota

Serangan siber terhadap infrastruktur kritis kembali menjadi sorotan setelah lebih dari 30 sistem penyedia air minum di negara bagian Minnesota, Amerika Serikat, menjadi sasaran serangan siber terkoordinasi pada 26 hingga 27 Juli 2026. Serangan ini menargetkan teknologi operasional atau Operational Technology (OT) yang mengendalikan berbagai proses penting dalam pengolahan dan distribusi air bersih.

Insiden tersebut mendorong pemerintah negara bagian Minnesota mengaktifkan respons keamanan siber secara menyeluruh bersama sejumlah lembaga federal untuk memastikan layanan air tetap berjalan dan mencegah dampak yang lebih luas terhadap masyarakat.

Beberapa kota melaporkan gangguan dengan tingkat keparahan yang berbeda-beda. Kota Braham menjadi wilayah yang mengalami dampak paling nyata setelah instalasi pengolahan airnya sempat berhenti beroperasi. Pemerintah kota bahkan meminta warga mengurangi penggunaan air sementara waktu hingga fasilitas pengolahan kembali berfungsi normal.

Di kota Plymouth, gangguan terjadi pada sistem komunikasi seluler yang menghubungkan dua menara air serta beberapa stasiun pompa air limbah. Meski demikian, layanan kepada masyarakat tetap berlangsung karena operator segera mengalihkan pengoperasian sistem dari otomatis menjadi manual.

Sementara itu, South St. Paul dan Maple Plain juga mengalami gangguan pada sistem kontrol otomatis utilitas. Namun kedua kota tersebut berhasil mempertahankan layanan air tanpa gangguan signifikan. Maple Plain bahkan menetapkan status darurat lokal untuk mempercepat koordinasi penanganan insiden.

Lebih dari 30 Sistem Air Terdampak

Minnesota IT Services (MNIT) mengonfirmasi bahwa lebih dari 30 sistem penyedia air di berbagai wilayah Minnesota terdampak oleh serangan tersebut. Namun, tingkat kerusakan dan gangguan operasional berbeda-beda di setiap lokasi.

Dalam keterangannya kepada The Hacker News, MNIT menyebutkan bahwa investigasi masih berlangsung untuk memastikan sejauh mana dampak terhadap masing-masing fasilitas.

"Saat ini kami dapat mengonfirmasi bahwa lebih dari 30 sistem penyedia air di seluruh negara bagian terdampak. Tingkat dan bentuk dampaknya berbeda-beda pada setiap sistem, dan penyelidikan masih berlangsung untuk menentukan berapa banyak yang mengalami gangguan operasional," ujar MNIT.
Hingga 28 Juli, pihak berwenang juga menegaskan belum ada permintaan kepada masyarakat untuk mengubah pola konsumsi air minum karena kualitas layanan secara umum masih dapat dipertahankan.

Meski demikian, pemerintah belum mengungkap identitas pelaku serangan, metode yang digunakan, produk yang terdampak, maupun apakah terjadi pencurian data selama insiden berlangsung.

Pola Serangan Menunjukkan Operasi yang Terkoordinasi

MNIT menjelaskan bahwa penyelidik menemukan sejumlah kesamaan dalam seluruh insiden yang terjadi. Mulai dari waktu pelaksanaan serangan, metode akses ke sistem, hingga jenis infrastruktur yang menjadi target memiliki pola yang hampir identik.

Kesamaan tersebut menjadi dasar pemerintah Minnesota menyebut insiden ini sebagai serangan siber yang dilakukan secara terkoordinasi.

Lembaga tersebut juga menyatakan bahwa karakteristik serupa sebelumnya telah diamati oleh sejumlah mitra pemerintah federal di berbagai negara bagian serta sektor industri lainnya. Namun demikian, hingga kini belum ada bukti yang cukup untuk menyimpulkan bahwa seluruh serangan berasal dari satu kelompok peretas yang sama.

MNIT menambahkan bahwa tim investigasi telah mengidentifikasi pola akses yang mirip di berbagai sistem yang terdampak. Akan tetapi, rincian teknis mengenai teknik eksploitasi maupun celah keamanan yang dimanfaatkan masih dirahasiakan agar tidak mengganggu proses penyelidikan.

Dengan kata lain, atribusi resmi terhadap pelaku serangan masih belum ditetapkan.

Pemerintah Gandeng CISA, FBI, dan EPA

Menghadapi ancaman terhadap infrastruktur vital tersebut, pemerintah Minnesota segera membentuk koordinasi lintas lembaga bersama pemerintah federal.

MNIT bekerja sama dengan Cybersecurity and Infrastructure Security Agency (CISA), Environmental Protection Agency (EPA), Federal Bureau of Investigation (FBI), serta perusahaan utilitas yang terdampak untuk melakukan penanggulangan, investigasi, pemulihan sistem, dan pertukaran informasi intelijen ancaman.

Asisten Komisioner MNIT sekaligus Chief Information Security Officer (CISO) Negara Bagian Minnesota, John Israel, menegaskan bahwa perlindungan terhadap infrastruktur kritis tidak dapat dilakukan oleh satu instansi saja.

"Serangan siber terhadap infrastruktur kritis memerlukan respons terkoordinasi dari seluruh unsur pemerintah," kata John Israel.

Menurut MNIT, kerja sama tersebut memungkinkan proses isolasi insiden berlangsung lebih cepat sehingga dampak terhadap layanan publik dapat diminimalkan.

Muncul Setelah Peringatan Ancaman Siber dari Iran

Serangan di Minnesota terjadi hanya empat hari setelah pemerintah Amerika Serikat memperluas peringatan mengenai aktivitas kelompok peretas yang diduga berafiliasi dengan Iran.

Kelompok tersebut diketahui menargetkan Programmable Logic Controller (PLC) yang terhubung ke internet dan banyak digunakan dalam sistem industri. Perangkat PLC dari sejumlah produsen besar seperti Rockwell Automation, Schneider Electric, dan Siemens disebut menjadi sasaran utama.

Dalam kampanye sebelumnya, penyelidik menemukan bahwa pelaku berhasil mencuri sekaligus memodifikasi file proyek PLC, memanipulasi tampilan data pada Human Machine Interface (HMI) dan sistem Supervisory Control and Data Acquisition (SCADA), hingga menonaktifkan fungsi alarm maupun prosedur penghentian otomatis.

Walaupun memiliki kemiripan pola, pemerintah Minnesota maupun pemerintah federal belum menghubungkan secara resmi serangan di Minnesota dengan kampanye tersebut.

Tenable: Taktiknya Mirip CyberAv3ngers

Perusahaan keamanan siber Tenable menilai pola operasi yang digunakan memiliki kemiripan dengan aktivitas kelompok CyberAv3ngers.

Senior Staff Research Engineer Tenable, Scott Caveza, mengatakan teknik yang digunakan masih konsisten dengan taktik kelompok CyberAv3ngers maupun kelompok lain yang berafiliasi dengan Islamic Revolutionary Guard Corps Cyber-Electronic Command (IRGC-CEC) Iran.

Menurut Caveza, sejak 2023 kelompok-kelompok tersebut telah beberapa kali menargetkan sistem penyedia air bersih dan pengolahan air limbah melalui PLC dan HMI. Dalam sejumlah kasus, serangan bahkan menyebabkan gangguan operasional yang berdampak langsung terhadap pelayanan publik.

Meski demikian, Tenable menekankan bahwa hingga kini belum ada atribusi resmi dari pemerintah Amerika Serikat yang mengaitkan serangan Minnesota dengan CyberAv3ngers.

FBI Temukan Kasus Serupa di Tujuh Negara Bagian

Perkembangan terbaru juga menunjukkan bahwa ancaman terhadap sistem utilitas air tidak hanya terjadi di Minnesota. Dalam peringatan yang diterbitkan pada 30 Juli, FBI dan EPA mengungkapkan bahwa utilitas air bersih dan air limbah di sedikitnya tujuh negara bagian melaporkan insiden serupa sejak 27 Juli.

Sebagian besar kasus melibatkan PLC Rockwell Automation Allen-Bradley MicroLogix 1100 dan MicroLogix 1400 yang dapat diakses melalui internet. Para pelaku diketahui mengubah alamat IP serta kata sandi PLC dari jarak jauh sehingga operator kehilangan kemampuan untuk memantau maupun mengendalikan perangkat.

Beberapa fasilitas mengalami penurunan kualitas operasional, termasuk hilangnya tekanan air dan banjir akibat gangguan sistem kendali. Di salah satu organisasi, penyelidik juga menemukan file proyek PLC yang telah dimodifikasi setelah mendeteksi perubahan pada ladder logic di beberapa lokasi.

Meski demikian, FBI belum mengungkap negara bagian yang terdampak maupun mengaitkan kasus tersebut dengan insiden di Minnesota.

CISA Minta Operator Perkuat Keamanan PLC

Sebagai langkah mitigasi, CISA mengeluarkan sejumlah rekomendasi bagi operator infrastruktur kritis, khususnya sektor penyediaan air.

Beberapa langkah yang disarankan antara lain mencatat seluruh koneksi modem seluler, membatasi akses PLC hanya kepada sistem yang telah diotorisasi, memeriksa file proyek yang sedang berjalan untuk memastikan tidak ada perubahan ilegal, serta memverifikasi cadangan data sebelum proses pemulihan dilakukan.

Selain itu, operator juga diminta memvalidasi seluruh file proyek sebelum mengaktifkan kembali pengendali ke mode run, terutama pada PLC yang memiliki sakelar mode fisik.

Hingga 29 Juli 2026, MNIT menyatakan proses investigasi masih terus berlangsung. Tim tanggap insiden bersama berbagai lembaga federal masih melakukan analisis terhadap seluruh sistem yang terdampak guna memastikan sumber serangan, metode yang digunakan, serta mencegah insiden serupa terjadi di masa mendatang.

Kasus ini kembali menunjukkan bahwa sistem teknologi operasional yang mengendalikan layanan publik kini menjadi target utama pelaku kejahatan siber. Karena itu, penguatan keamanan siber pada infrastruktur kritis, termasuk sektor penyediaan air bersih, menjadi semakin penting untuk menjaga keberlangsungan layanan yang menjadi kebutuhan dasar masyarakat.