Ribuan Pengendali Sistem Air Masih Terlihat Online
Penelitian baru telah mengidentifikasi lebih dari 4.000 pengendali industri Rockwell Automation yang terhubung langsung ke internet, banyak di antaranya terkait dengan perusahaan air minum AS. Di antara perangkat yang terpapar, 22 dilacak ke kota-kota yang telah mengalami serangan siber yang menargetkan infrastruktur air. Temuan ini memunculkan pertanyaan yang tidak nyaman bagi sektor air: mengapa, setelah bertahun-tahun peringatan federal, begitu banyak sistem kritis masih terlihat oleh siapa pun yang memindai internet?
Peralatan yang terpapar mencakup pengendali logika terprogram (PLC), komputer industri kecil yang mengelola proses fisik seperti tekanan air, dosis bahan kimia, dan operasi pompa. Ini bukan perangkat konsumen yang berada di balik router rumah. Seharusnya perangkat ini terisolasi di jaringan internal yang dilindungi, hanya dapat diakses oleh operator yang berwenang. Ketika PLC dapat dijangkau dari internet terbuka, ia menjadi titik masuk potensial bagi siapa pun yang memiliki alat dan motivasi yang tepat, mulai dari pemindai oportunistik hingga aktor ancaman yang terkait dengan negara.
Mengapa Pengendali Industri yang Terpapar Menjadi Masalah Privasi dan Keamanan
Mudah untuk menggolongkan ini sebagai "keamanan siber industri" dan melanjutkan, tetapi pengendali industri yang terpapar membawa konsekuensi yang melampaui departemen TI. Perusahaan air minum menyimpan data operasional, informasi akun pelanggan, dan rincian infrastruktur yang, jika terpapar atau dimanipulasi, memengaruhi seluruh komunitas. Pengendali yang dikompromikan bukan hanya risiko privasi data; ini adalah risiko keselamatan publik, karena penyerang yang mendapatkan akses ke PLC secara teori dapat mengubah proses pengolahan atau mengganggu layanan.
Ini juga pada dasarnya adalah kisah privasi dalam arti yang lebih luas. Pelanggan perusahaan air minum tidak memiliki visibilitas apakah infrastruktur yang mengalirkan air mereka aman, dan tidak ada cara yang berarti untuk memilih tidak ikut jika tidak. Tidak seperti peritel atau platform media sosial yang diretas, tidak ada opsi untuk berganti penyedia ketika sistem air kota Anda menjalankan peralatan yang terpapar. Beban privasi dan keselamatan sepenuhnya jatuh pada operator yang, menurut penelitian ini, belum secara konsisten mengikuti panduan federal untuk membawa sistem ini offline atau memisahkannya dengan benar dari internet publik.
Pola Peringatan yang Belum Menutup Kesenjangan
Lembaga federal telah berulang kali mendesak perusahaan air minum dan operator infrastruktur kritis lainnya untuk menghapus sistem kontrol industri yang menghadap internet, menerapkan otentikasi yang kuat, dan memisahkan jaringan teknologi operasional dari TI perusahaan. Terlepas dari panduan itu, pemindaian di balik penelitian ini menunjukkan masalah yang bertahan dalam skala besar, dengan ribuan pengendali masih dapat ditemukan menggunakan alat pemindaian internet dasar yang tidak memerlukan akses khusus atau kecanggihan.
Fakta bahwa 22 perangkat yang terpapar berada di kota-kota yang telah menjadi sasaran serangan pada sistem air sangatlah mencolok. Ini menunjukkan bahwa bahkan setelah sebuah insiden menarik perhatian ke utilitas atau wilayah tertentu, paparan yang mendasarinya belum tentu diperbaiki. Kesadaran saja tidak berarti tindakan, entah karena kendala anggaran, kekurangan staf, atau kompleksitas semata dalam menerapkan keamanan pada infrastruktur yang tidak pernah dirancang dengan konektivitas internet dalam pikiran.
Ini mencerminkan pola yang lebih luas yang terlihat di berbagai sektor yang berada di bawah tekanan ancaman siber. Dalam perawatan kesehatan, misalnya, lembaga harus secara aktif mendesak organisasi untuk berbagi data ancaman ransomware karena operator secara historis enggan mengungkapkan insiden, memperlambat upaya pertahanan kolektif. Perusahaan air minum tampaknya menghadapi kesenjangan serupa antara panduan yang dikeluarkan dan panduan yang diikuti, dan dalam kedua kasus tersebut hasilnya adalah kerentanan bertahan lebih lama dari yang seharusnya.
Apa Artinya Ini Bagi Anda
Sebagian besar pembaca bukanlah operator sistem air, tetapi penelitian ini tetap penting bagi siapa pun yang bergantung pada infrastruktur kota, yang hampir semua orang. Pengendali industri yang terpapar mewakili risiko sistemik yang tidak dapat langsung diperbaiki oleh konsumen individu melalui kebiasaan keamanan pribadi seperti menggunakan VPN atau kata sandi yang kuat. Meski begitu, kesadaran memiliki nilai. Memahami bahwa terdapat kesenjangan keamanan infrastruktur kritis dapat memberi informasi tentang cara Anda berinteraksi dengan pejabat setempat, dewan utilitas, dan periode komentar publik di mana keputusan investasi infrastruktur dibuat.
Jika Anda bekerja di atau sekitar utilitas kota, pengolahan air, atau lingkungan teknologi operasional apa pun, penelitian ini adalah panggilan langsung untuk bertindak. Peringatan federal tentang PLC dan sistem kontrol yang terpapar bukanlah hipotetis; mereka menggambarkan paparan yang terdokumentasi dan berkelanjutan yang dapat dan memang dieksploitasi oleh penyerang.
Poin Penting untuk Pembaca dan Operator
Bagi operator utilitas dan tim OT, prioritas segera sudah jelas: audit perangkat mana yang dapat dijangkau dari internet publik, hapus paparan yang tidak perlu, dan terapkan segmentasi jaringan antara sistem kontrol dan yang lainnya. Bagi pembaca sehari-hari, langkah terbaik adalah langkah kewarganegaraan: tanyakan kepada otoritas air setempat tentang postur keamanan siber mereka, dukung pendanaan untuk peningkatan keamanan infrastruktur, dan tetap terinformasi seiring penelitian lebih lanjut seperti ini terus muncul. Paparan ribuan pengendali industri tidak akan menutup dengan sendirinya, dan menutupnya memerlukan tekanan berkelanjutan dari regulator dan komunitas yang dilayani oleh sistem ini.
