Benteng Digital
Kembali ke Daftar Isi
📖 Buku Digital

Bab 2: Lanskap Ancaman dan Insiden Krusial

Terakhir diperbarui: 27 Januari 2026

🎯 Track: Keduanya (K) - Untuk Direksi, Manajer, dan Teknisi

Mengenal Musuh: Siapa yang Menaungi Sistem Air Minum Anda?

Sebelum membangun benteng pertahanan, kita harus memahami apa yang kita hadapi. Bab ini akan membuka kedok musuh digital yang mengincar infrastruktur air minum Indonesia.

🎯 Tujuan Bab Ini

Setelah membaca bab ini, Anda akan:

  1. Mengenal jenis ancaman yang paling sering menyerang PDAM
  2. Memahami motivasi di balik serangan siber terhadap utilitas air
  3. Mempelajari insiden nyata yang sudah terjadi dan pelajarannya
  4. Mengenali indikator kompromi (Indicators of Compromise)

🌍 Lanskap Ancaman Global

Tren yang Perlu Diwaspadai

Data insiden siber di sektor air minum global sulit diverifikasi dengan angka presisi tunggal - banyak insiden tidak pernah dipublikasikan karena alasan reputasi, dan lembaga yang berbeda (CISA, WaterISAC, vendor keamanan) melaporkan cakupan yang berbeda-beda. Yang konsisten dilaporkan berbagai sumber (lihat Referensi di akhir bab) adalah arah tren, bukan angka pastinya:

Jenis Serangan Arah Tren Kenapa Relevan untuk PDAM
Ransomware ⬆️ Meningkat tajam Target favorit karena utilitas publik dianggap "harus bayar cepat"
Phishing/Social Engineering ⬆️ Meningkat Vektor masuk paling murah dan paling sering berhasil
Insiden Insider ➡️ Stabil, sering luput dilaporkan Sulit dideteksi tanpa monitoring akses
SCADA/OT Intrusion ⬆️ Meningkat Konvergensi IT-OT makin masif (Bab 3)
Supply Chain Attack ⬆️ Vektor yang makin sering muncul PDAM bergantung pada vendor SCADA pihak ketiga

Yang perlu diwaspadai: banyak lembaga keamanan siber memperkirakan sebagian besar insiden di sektor air minum tidak pernah dilaporkan ke publik karena alasan reputasi - insiden yang terekspos ke media (seperti Oldsmar dan PDNS di bawah) kemungkinan hanya puncak gunung es.

👥 Aktor Ancaman: Siapa Mereka?

1. Kelompok Kriminal Siber (Cybercriminals)

Motivasi: Uang (Financial Gain)

Taktik Utama:

  • Ransomware: Enkripsi data + permintaan tebusan
  • Business Email Compromise (BEC): Pemalsuan invoice/vendor
  • Data Theft: Menjual data pelanggan di dark web

Contoh Kelompok (historis, sebagai ilustrasi pola serangan):

  • LockBit 3.0 - RaaS yang menyerang PDNS Indonesia (2024), dibahas mendalam di bawah
  • Conti dan REvil - kelompok ransomware besar yang aktif 2020-2022 sebelum dibubarkan/ditindak otoritas; disebut di sini sebagai contoh pola ransomware-as-a-service, bukan ancaman aktif saat ini

Target Utama:

  • Sistem billing (untuk tebusan)
  • Database pelanggan (untuk dijual)
  • Email manajer keuangan (untuk BEC)

2. Hacker Aktivis (Hacktivists)

Motivasi: Politik/Agenda

Taktik Utama:

  • Defacement: Mengubah website PDAM
  • DDoS: Mematikan layanan online
  • Data Leak: Membocorkan dokumen internal

Skenario Ilustratif (pola umum di sektor utilitas publik, bukan insiden PDAM spesifik yang terverifikasi):

  • Website instansi publik di-deface dengan pesan politik saat isu sensitif memanas
  • Sistem billing/portal pelanggan online di-DDoS selama beberapa hari, mengganggu layanan pembayaran

Target Utama:

  • Website publik (visibility tinggi)
  • Sistem komunikasi publik
  • Portal pelanggan

3. APT dan Negara-Bangsa (State-Sponsored Actors)

Motivasi: Intelijen/Sabotase

Taktik Utama:

  • Advanced Persistent Threat (APT): infiltrasi jangka panjang
  • Zero-Day Exploits: serangan melalui celah keamanan unknown
  • Supply Chain Attack: kompromi melalui vendor

Target Utama:

  • Infrastruktur strategis (siap perang)
  • SCADA dan sistem kontrol proses
  • Data operasional sensitif

Catatan: Indonesia tidak dalam status perang, tapi tetap menjadi target espionage.

4. Insider Threat (Aktor Internal)

Kategori:

  • Malicious Insider: Karyawan yang sakit hati/dibayar
  • Negligent Insider: Karyawan yang tidak hati-hati
  • Compromised Insider: Akun karyawan diretas

Kenapa ini sering diabaikan: insider threat sulit dideteksi karena pelakunya sudah punya akses sah - beda dari serangan eksternal yang meninggalkan jejak masuk yang jelas.

Skenario Ilustratif (pola umum di berbagai sektor, bukan insiden PDAM spesifik yang terverifikasi):

  • Mantan staf IT yang akunnya belum dinonaktifkan setelah keluar, masih bisa mengakses server
  • Staf non-IT mencolokkan flashdisk tak dikenal ke komputer yang terhubung ke jaringan OT

💉 Vektor Serangan: Bagaimana Mereka Masuk?

Vektor #1: Phishing dan Social Engineering (paling sering terjadi)

Cara Kerja:

  1. Attacker mengirim email palsu ke staf PDAM
  2. Email terlihat legitimate (dari vendor, bank, BUMN, dll)
  3. Berisi link berbahaya atau lampiran .zip/.exe
  4. Staf klik → malware terinstall → akses terbuka

Contoh Email Phishing:

FROM: "PT Digital Indonesia" <support@digital-indonesia.com>
SUBJECT: Undangan Training Digitalisasi PDAM 2024

Dear Bapak/Ibu,

Terlampir undangan training digitalisasi PDAM 2024.
Mohon diunduh dan didistribusikan ke tim IT.

Best regards,
PT Digital Indonesia

Attachment: Undangan_Training.zip (berisi malware)

Tanda-Tanda Phishing:

  • Domain pengirim mencurigakan (bukan domain resmi)
  • Diminta tindakan segera ("urgent", "segera")
  • Lampiran berupa .zip, .exe, .scr
  • Kesalahan ejaan/grammar

Vektor #2: Remote Access yang Tidak Aman (paling berbahaya untuk OT)

Cara Kerja:

  1. PDAM menggunakan TeamViewer/AnyDesk/Remote Desktop
  2. Tanpa VPN, tanpa MFA, tanpa pembatasan IP
  3. Attacker melakukan brute force atau beli akses di dark web
  4. Penyerang masuk ke SCADA → BENCANA

Kasus Nyata: Oldsmar Florida (akan dibahas mendalam)

Pola Serangan:

Attacker → Internet → TeamViewer (port terbuka) → Jaringan Internal → SCADA

Vektor #3: Vulnerabilitas Software/Firmware (umum, sering luput dari perbaikan)

Cara Kerja:

  1. SCADA/PLC ada celah keamanan (security vulnerability)
  2. Celah ini publik (di website vendor/DB keamanan)
  3. PDAM tidak pernah update firmware (takut merusak sistem)
  4. Attacker mengeksploitasi celah ini

Contoh Celah Terkenal:

  • CVE-2021-22779 ("ModiPwn") - celah authentication bypass kritis di PLC Schneider Electric Modicon (M340, M580, dll.), memungkinkan pengambilalihan penuh perangkat lewat protokol UMAS
  • Zero-day di perangkat IoT smart meter dan perangkat OT lain yang jarang di-patch

Vektor #4: Supply Chain Attack (jarang, tapi berdampak luas)

Cara Kerja:

  1. Attacker menyerang vendor/software house PDAM
  2. Penyerang menyisipkan malware ke update software resmi
  3. PDAM menginstall update (karena dari vendor terpercaya)
  4. Malware aktif di dalam jaringan PDAM

Kasus Nyata: SolarWinds (2020) - menyerang ribuan organisasi via update software.

Vektor #5: Infeksi Media Fisik (klasik, tetap relevan)

Cara Kerja:

  1. Staf menemukan flashdisk "gratis" di parkiran
  2. Staf mencolokkannya ke komputer kantor/SCADA
  3. Flashdisk berisi malware otomatis (auto-run malware)
  4. Sistem terinfeksi

Disebut juga: Drop Attack atau Road Apple

🔍 Studi Kasus Mendalam: Oldsmar Florida (2021)

Insiden ini adalah wake-up call global untuk keamanan siber utilitas air.

Timeline Berdasarkan Advisori Resmi

Sumber utama bagian ini adalah advisori bersama CISA, FBI, EPA, dan MS-ISAC, AA21-042A: Compromise of U.S. Water Treatment Facility (12 Februari 2021).

┌─ 05 Februari 2021 ──────────────────────────────┐
│ TeamViewer, terpasang di HMI untuk remote       │
│ support vendor tapi jarang dipakai (dormant),   │
│ diakses oleh pihak tak dikenal.                 │
│                                                  │
│ Pelaku mengambil alih mouse dan keyboard        │
│ dari jarak jauh, membuka menu kontrol proses,   │
│ dan mengubah setpoint NaOH dari 100 ppm         │
│ menjadi sekitar 11.100 ppm.                     │
│                                                  │
│ Operator yang sedang bertugas melihat kursor    │
│ bergerak sendiri secara real-time, langsung     │
│ menyadari itu bukan aktivitasnya, dan segera    │
│ mengembalikan nilai ke 100 ppm dalam hitungan   │
│ menit - SEBELUM sistem alarm SCADA sempat       │
│ berbunyi karena perubahan itu.                  │
└──────────────────────────────────────────────────┘

Penting digarisbawahi: proses pengolahan air tidak pernah benar-benar terganggu, dan tidak ada air terkontaminasi yang sempat keluar dari fasilitas - murni karena operator kebetulan sedang memperhatikan layar saat itu terjadi.

Analisis Forensik

Apa itu NaOH (Natrium Hidroksida)?

  • Bahan kimia untuk mengatur pH air
  • Pada konsentrasi normal (100 ppm): aman untuk dikonsumsi
  • Pada ~11.100 ppm: berpotensi sangat berbahaya bagi kesehatan bila sampai masuk ke jaringan distribusi - meski dalam kasus ini hal itu tidak terjadi

Kenapa ini tetap dianggap insiden serius meski tanpa korban:

  • Satu-satunya lapisan pertahanan yang bekerja hari itu adalah kewaspadaan satu orang operator - bukan kontrol teknis apa pun (tidak ada VPN, MFA, segmentasi, atau monitoring otomatis yang menghentikan akses)
  • Jika insiden terjadi saat pergantian shift atau operator lengah sedetik saja, hasilnya bisa sangat berbeda

Root Cause Analysis

Bagaimana Pelaku Bisa Masuk?

  1. TeamViewer Terpasang di HMI SCADA

    • Alasan: Untuk remote support dari vendor
    • Masalah: Dormant (jarang dipakai) tapi tetap aktif dan tidak pernah dicabut/dipantau

  2. Tanpa VPN atau Firewall Khusus

    • TeamViewer dapat diakses langsung lewat internet
    • Tidak ada segmentasi jaringan IT-OT yang memadai

  3. Kontrol Akses Lemah

    • Tidak ada Multi-Factor Authentication (MFA) untuk sesi remote access

  4. Tidak Ada Monitoring Otomatis

    • Tidak ada log/alert otomatis untuk sesi remote access yang tidak biasa
    • Deteksi murni bergantung pada operator yang kebetulan melihat layar

  5. Faktor Manusia yang (Kali Ini) Menyelamatkan

    • Operator langsung bertindak begitu melihat kursor bergerak sendiri - ini bukti pentingnya pelatihan security awareness, bukan kegagalan manusia

Lessons Learned untuk PDAM

❌ JANGAN:

  • Gunakan TeamViewer/AnyDesk tanpa pengamanan
  • Biarkan remote access dormant tetap aktif tanpa dipantau atau dicabut
  • Mengandalkan kewaspadaan manusia sebagai satu-satunya lapis pertahanan

✅ WAJIB:

  • Gunakan VPN + MFA untuk remote access
  • Segmentasi jaringan IT dan OT
  • Cabut/nonaktifkan remote access yang tidak sedang digunakan
  • Latih staf untuk waspada terhadap anomali - kewaspadaan itu terbukti berhasil di Oldsmar, tapi seharusnya jadi lapis kedua, bukan satu-satunya lapis
  • Monitoring dan alert otomatis terhadap akses jarak jauh, bukan hanya mengandalkan mata manusia

🔍 Studi Kasus Mendalam: PDNS Indonesia (2024)

Insiden ini adalah peringatan keras bahwa Indonesia juga sedang diserang.

Timeline Singkat

┌─ 20 November 2024 ──────────────────────────────┐
│ Pagi   - Sistem PDNS mulai bermasalah           │
│ Siang  - Ratusan layanan pemerintah lumpuh      │
│ Sore   - Dikonfirmasi: serangan ransomware      │
│         LockBit 3.0                             │
│ Malam  - BSSN, Kominfo, dan CNERT turun tangan  │
│ Hari+  - Pemulihan memakan waktu berminggu-minggu│
└─────────────────────────────────────────────────┘

Dampak Langsung

  • ✅ 200+ layanan publik terganggu
  • ✅ Data pemerintah terenkripsi
  • ✅ Sistem negara lumpuh sebagian
  • ⏱️ Kerugian miliar rupiah

Analisis Serangan

Apa itu LockBit 3.0?

LockBit adalah ransomware-as-a-service (RaaS):

  • Kelompok LockBit menyewakan ransomware ke afiliasi
  • Afiliasi yang melakukan serangan
  • Keuntungan dibagi 70-30 (afiliasi-LockBit)

Taktik LockBit:

  1. Double Extortion: Enkripsi data + ancaman bocorkan data
  2. Triple Extortion: Enkripsi + bocorkan + DDoS jika tidak bayar
  3. Deadline: 24-72 jam sebelum data di-delete/dibocorkan

Lessons Learned untuk PDAM

❌ JANGAN:

  • Anggap "kami kecil, tidak menarik perhatian hacker"
  • Tidak punya backup offline
  • Tidak punya Incident Response Plan
  • Menganggap backup cloud cukup (bisa terenkripsi juga)

✅ WAJIB:

  • Backup offline rutin (minimal mingguan)
  • Backup offline terpisah dari jaringan (tidak terhubung internet)
  • Incident Response Plan tertulis dan diuji
  • Cyber insurance pertimbangkan

🚩 Indikator Kompromi (IoC): Tanda-Tanda Kompromi

Bagaimana PDAM tahu jika sedang diserang?

Tanda-Tanda Teknis

Kategori Indikator Contoh
Network Koneksi aneh ke luar negeri Koneksi ke IP Rusia/China jam 2 pagi
Network Traffic spike tidak wajar 10 GB data upload keluar (padahal jarang)
System Akun baru dibuat User "admin1" muncul tiba-tiba
System Policy berubah sendiri Firewall rules dimatikan sendiri
Application SCADA berubah sendiri Nilai setpoint berubah tanpa input operator
User Login jam aneh User login jam 3 pagi dari luar kota
User Gagal login berulang 50x gagal login dalam 5 menit (brute force)

Tanda-Tanda Non-Teknis

  • Staf melihat mouse bergerak sendiri
  • Program membuka/menutup sendiri
  • File berubah ekstensi (.locked, .encrypted)
  • Pop-up aneh ("Your files have been encrypted")
  • Lambat tiba-tiba (indikator malware mining/exfiltration)
  • Bebas dari internet padahal seharusnya online

🎯 Strategi Mitigasi Berbasis Ancaman

Setelah mengenal ancaman, apa yang harus dilakukan?

Prioritas Mitigasi (Berdasarkan Risiko)

🔴 KRITIS (Lakukan SEKARANG)

  1. Matikan atau Amankan Remote Access

    • Matikan TeamViewer/AnyDesk jika tidak aktif digunakan
    • Gunakan VPN + MFA jika remote access wajib
    • Batasi hanya dari IP tertentu (whitelist)

  2. Implementasi Backup Offline

    • Backup rutin ke media terpisah (hard disk eksternal)
    • Simpan di lokasi berbeda (offsite backup)
    • Uji pemulihan backup minimal 3 bulan sekali

  3. Security Awareness Training

    • Latih semua staf (bukan hanya IT)
    • Fokus pada phishing, social engineering, reporting
    • Uji coba phishing simulasi

  4. Password Policy Dasar

    • Hapus password default
    • Paksa password minimal 12 karakter
    • Implementasi MFA untuk akses kritikal

🟠 PENTING (Lakukan dalam 1-3 bulan)

  1. Segmentasi Jaringan IT-OT

    • Pisahkan jaringan kantor dan SCADA
    • Gunakan firewall antara IT dan OT
    • Implementasi VLAN

  2. Monitoring dan Logging

    • Aktifkan log di server, router, switch
    • Gunakan SIEM (Security Information and Event Management)
    • Review log minimal mingguan

  3. Vulnerability Assessment

    • Scan jaringan untuk celah keamanan
    • Update firmware perangkat kritikal
    • Buat prosedur update yang aman

  4. Incident Response Plan

    • Buat SOP langkah-langkah jika insiden terjadi
    • Tentukan peran dan tanggung jawab
    • Latih tim dengan simulasi

🟡 NICE TO HAVE (Lakukan dalam 3-6 bulan)

  1. Penetration Testing

    • Hire profesional untuk tes penetrasi
    • Fokus pada SCADA dan sistem kritikal
    • Perbaiki celah yang ditemukan

  2. Cybersecurity Insurance

    • Pertimbangkan asuransi siber
    • Lindungi dari dampak finansial insiden

  3. Certification (ISO 27001, dll)

    • Tingkatkan kematangan keamanan siber
    • Demonstrasi komitmen keamanan

📊 Matriks Risiko: Ancaman x Dampak

                    DAMPAK
                Rendah    Sedang    Tinggi
            ┌─────────┬─────────┬─────────┐
      Tinggi│ Phishing│ Ransomw │ SCADA   │
      (Likely)│ Training│ Backup  │ Intrus  │
            ├─────────┼─────────┼─────────┤
ANCAMAN Sedang│ Defacem│ Supply  │ Insider │
      (Medium)│ DDoS    │ Chain   │ Threat  │
            ├─────────┼─────────┼─────────┤
      Rendah│ Zero-da │ APT     │ State   │
      (Unlikely)│ y       │ Intelij │ Sponsor │
            └─────────┴─────────┴─────────┘

Prioritas Mitigasi:

  1. SCADA Intrusion (Tinggi x Tinggi) = MITIGASI KRITIS
  2. Ransomware (Tinggi x Sedang) = MITIGASI KRITIS
  3. Insider Threat (Sedang x Tinggi) = MITIGASI PENTING

🎯 Key Takeaways: Apa yang Harus Anda Lakukan?

Untuk Direksi PDAM:

  1. ✅ Pahami ancaman nyata yang dihadapi PDAM
  2. ✅ Alokasikan anggaran untuk mitigasi kritis (backup, MFA, training)
  3. ✅ Tunjuk tim tanggap insiden (Incident Response Team)
  4. ✅ Pertimbangkan asuransi siber untuk transfer risiko

Untuk Manajer IT:

  1. ✅ Audit remote access segera (matikan atau amankan)
  2. ✅ Implementasi backup offline rutin
  3. ✅ Segmentasi jaringan IT-OT
  4. ✅ Deploy monitoring dan review log

Untuk Staf Lapangan/Operator:

  1. ✅ Waspada aktivitas aneh (mouse bergerak sendiri, program buka-tutup)
  2. ✅ JANGAN colok flashdisk sembarangan ke komputer SCADA
  3. ✅ LAPORKAN segera jika melihat sesuatu yang mencurigakan
  4. ✅ Ikuti pelatihan security awareness

📖 Lanjut ke Bab Berikutnya

Bab ini membahas APA ancaman yang dihadapi dan BAGAIMANA mereka menyerang.

Bab selanjutnya akan membahas struktur jaringan PDAM (IT/OT) dan di mana letak kelemahan yang perlu diperbaiki.

📝 Diskusi Refleksi

Setelah membaca bab ini, jawab pertanyaan berikut:

  1. Apakah PDAM Anda pernah mengalami serangan siber (phishing, defacement, dll)?
  2. Bagaimana PDAM Anda mengelola akses remote ke sistem SCADA?
  3. Apakah PDAM Anda memiliki backup offline yang terpisah dari jaringan?
  4. Apakah staf Anda sudah dilatih mengenai indikator kompromi (IoC)?
  5. Siapa yang harus dihubungi jika terjadi insiden siber (Contact Person)?

Jika banyak jawaban "tidak" atau "tidak tahu", jangan khawatir. Bab-bab selanjutnya akan memandu Anda langkah demi langkah.

Selamat membaca! Semoga bab ini membuka mata Anda tentang ancaman nyata yang dihadapi PDAM. 🛡️💧

📚 Referensi

  • CISA, FBI, EPA, MS-ISAC. (2021). Advisory AA21-042A: Compromise of U.S. Water Treatment Facility. Cybersecurity and Infrastructure Security Agency.
  • Armis. (2021). ModiPwn: Critical Vulnerability in Schneider Electric Modicon PLCs (CVE-2021-22779).
  • WaterISAC. (2022). Ransomware Attacks on Water and Wastewater Systems. Water Information Sharing and Analysis Center.

Disclaimer: Tulisan ini adalah pandangan pribadi penulis dan tidak mewakili pandangan organisasi mana pun. Isi bab ini disajikan untuk tujuan edukasi, bukan nasihat keamanan siber, hukum, atau teknis resmi. Penerapan pada sistem yang sedang beroperasi tetap memerlukan verifikasi dan penyesuaian oleh pihak yang berwenang di organisasi masing-masing.

Sebelumnya

Bab 1: Pendahuluan

Selanjutnya

Bab 3: Lingkungan IT/OT

🧭 Sudah tahu level kematangan keamanan PDAM Anda? Coba asesmen singkatnya →