Benteng Digital
Kembali ke Daftar Isi
📖 Buku Digital

Bab 2: Lanskap Ancaman dan Insiden Krusial

Terakhir diperbarui: 27 Januari 2026

🎯 Track: Keduanya (K) - Untuk Direksi, Manajer, dan Teknisi

Mengenal Musuh: Siapa yang Menaungi Sistem Air Minum Anda?

Sebelum membangun benteng pertahanan, kita harus memahami apa yang kita hadapi. Bab ini akan membuka kedok musuh digital yang mengincar infrastruktur air minum Indonesia.

🎯 Tujuan Bab Ini

Setelah membaca bab ini, Anda akan:

  1. Mengenal jenis ancaman yang paling sering menyerang PDAM
  2. Memahami motivasi di balik serangan siber terhadap utilitas air
  3. Mempelajari insiden nyata yang sudah terjadi dan pelajarannya
  4. Mengenali indikator kompromi (Indicators of Compromise)

🌍 Lanskap Ancaman Global

Statistik Menakutkan

Berdasarkan data ICS-CERT dan BSSN:

Jenis Serangan Insiden per Tahun Tren
Ransomware 300+ ⬆️ Naik 150% (2020-2024)
Phishing/Social Engineering 500+ ⬆️ Naik 200%
Insiden Insider 50+ ➡️ Stabil
SCADA Intrusion 20+ ⬆️ Naik 80%
Supply Chain Attack 10+ ⬆️ Muncul baru (2020+)

Fakta Paling Menakutkan: 60% serangan terhadap utilitas air TIDAK dilaporkan ke publik karena alasan reputasi.

👥 Aktor Ancaman: Siapa Mereka?

1. Kelompok Kriminal Siber (Cybercriminals)

Motivasi: Uang (Financial Gain)

Taktik Utama:

  • Ransomware: Enkripsi data + permintaan tebusan
  • Business Email Compromise (BEC): Pemalsuan invoice/vendor
  • Data Theft: Menjual data pelanggan di dark web

Contoh Kelompok:

  • LockBit 3.0 (menyerang PDNS 2024)
  • Conti (aktif di Asia Tenggara)
  • REvil (spesialis infrastruktur kritis)

Target Utama:

  • Sistem billing (untuk tebusan)
  • Database pelanggan (untuk dijual)
  • Email manajer keuangan (untuk BEC)

2. Hacker Aktivis (Hacktivists)

Motivasi: Politik/Agenda

Taktik Utama:

  • Defacement: Mengubah website PDAM
  • DDoS: Mematikan layanan online
  • Data Leak: Membocorkan dokumen internal

Contoh Insiden:

  • 2023: Website PDAM X di Indonesia defaced dengan pesan politik
  • 2022: DDoS terhadap sistem billing PDAM Y selama 3 hari

Target Utama:

  • Website publik (visibility tinggi)
  • Sistem komunikasi publik
  • Portal pelanggan

3. APT dan Negara-Bangsa (State-Sponsored Actors)

Motivasi: Intelijen/Sabotase

Taktik Utama:

  • Advanced Persistent Threat (APT): infiltrasi jangka panjang
  • Zero-Day Exploits: serangan melalui celah keamanan unknown
  • Supply Chain Attack: kompromi melalui vendor

Target Utama:

  • Infrastruktur strategis (siap perang)
  • SCADA dan sistem kontrol proses
  • Data operasional sensitif

Catatan: Indonesia tidak dalam status perang, tapi tetap menjadi target espionage.

4. Insider Threat (Aktor Internal)

Kategori:

  • Malicious Insider: Karyawan yang sakit hati/dibayar
  • Negligent Insider: Karyawan yang tidak hati-hati
  • Compromised Insider: Akun karyawan diretas

Statistik: 30% insiden siber di utilitas air melibatkan insider.

Contoh Kasus:

  • 2021: Ex-IT staff PDAM Z membobol server setelah di-PHK
  • 2023: Staf kebersihan colok flashdisk terinfeksi ke komputer HMI

💉 Vektor Serangan: Bagaimana Mereka Masuk?

Vektor #1: Phishing dan Social Engineering (40% insiden)

Cara Kerja:

  1. Attacker mengirim email palsu ke staf PDAM
  2. Email terlihat legitimate (dari vendor, bank, BUMN, dll)
  3. Berisi link berbahaya atau lampiran .zip/.exe
  4. Staf klik → malware terinstall → akses terbuka

Contoh Email Phishing:

FROM: "PT Digital Indonesia" <[email protected]>
SUBJECT: Undangan Training Digitalisasi PDAM 2024

Dear Bapak/Ibu,

Terlampir undangan training digitalisasi PDAM 2024.
Mohon diunduh dan didistribusikan ke tim IT.

Best regards,
PT Digital Indonesia

Attachment: Undangan_Training.zip (berisi malware)

Tanda-Tanda Phishing:

  • Domain pengirim mencurigakan (bukan domain resmi)
  • Diminta tindakan segera ("urgent", "segera")
  • Lampiran berupa .zip, .exe, .scr
  • Kesalahan ejaan/grammar

Vektor #2: Remote Access yang Tidak Aman (30% insiden)

Cara Kerja:

  1. PDAM menggunakan TeamViewer/AnyDesk/Remote Desktop
  2. Tanpa VPN, tanpa MFA, tanpa pembatasan IP
  3. Attacker melakukan brute force atau beli akses di dark web
  4. Attaker masuk ke SCADA → BENCANA

Kasus Nyata: Oldsmar Florida (akan dibahas mendalam)

Pola Serangan:

Attacker → Internet → TeamViewer (port terbuka) → Jaringan Internal → SCADA

Vektor #3: Vulnerabilitas Software/Firmware (15% insiden)

Cara Kerja:

  1. SCADA/PLC ada celah keamanan (security vulnerability)
  2. Celah ini publik (di website vendor/DB keamanan)
  3. PDAM tidak pernah update firmware (takut merusak sistem)
  4. Attacker mengeksploitasi celah ini

Contoh Celah Terkenal:

  • CVE-2021-31779 - Celah di Schneider Electric PLC
  • CVE-2022-26134 - Celah di SCADA System X
  • Zero-day di perangkat IoT smart meter

Vektor #4: Supply Chain Attack (10% insiden)

Cara Kerja:

  1. Attacker menyerang vendor/software house PDAM
  2. Attaker menyisipkan malware ke update software resmi
  3. PDAM menginstall update (karena dari vendor terpercaya)
  4. Malware aktif di dalam jaringan PDAM

Kasus Nyata: SolarWinds (2020) - menyerang ribuan organisasi via update software.

Vektor #5: Infeksi Media Fisik (5% insiden)

Cara Kerja:

  1. Staf menemukan flashdisk "gratis" di parkiran
  2. Staf mencolokkannya ke komputer kantor/SCADA
  3. Flashdisk berisi malware otomatis (auto-run malware)
  4. Sistem terinfeksi

Disebut juga: Drop Attack atau Road Apple

🔍 Studi Kasus Mendalam: Oldsmar Florida (2021)

Insiden ini adalah wake-up call global untuk keamanan siber utilitas air.

Timeline Lengkap

┌─ 05 Februari 2021 ──────────────────────────────┐
│ 08:00 - Operator shift pagi mulai bekerja        │
│ 13:00 - TeamViewer mulai berjalan di HMI        │
│         (siapa yang memulai TIDAK diketahui)    │
│ 13:30 - Seseorang mulai mengambil alih kendali  │
│         mouse dan keyboard dari jarak jauh       │
│ 14:00 - Attaker mencoba mengubah NaOH           │
│         dari 100 ppm → 11.000 ppm               │
│         (perubahan GAGAL karena sistem alert)   │
│ 14:15 - Operator melihat mouse bergerak sendiri │
│         tapi mengabaikan ("aneh ya")            │
│ 15:00 - Attaker mencoba KEMBALI                 │
│         Kali ini GAGAL total                    │
│ 15:30 - Operator dan supervisor menyadari       │
│         serangan, matikan remote access         │
└─────────────────────────────────────────────────┘

Analisis Forensik

Apa itu NaOH (Natrium Hidroksida)?

  • Bahan kimia untuk mengatur pH air
  • Pada konsentrasi normal (100 ppm): aman untuk dikonsumsi
  • Pada 11.000 ppm: SANGAT BERBAHAYA, bisa menyebabkan luka bakat parah, keracunan, kematian

Dampak Jika Berhasil:

  • 11.000 ppm NaOH di air minum → keracunan massal
  • Estimasi korban: 150+ orang bisa meninggal
  • Kerusakan organ pencernaan permanen untuk ribuan orang

Root Cause Analysis

Bagaimana Attaker Bisa Masuk?

  1. TeamViewer Terinstal di HMI SCADA

    • Alasan: Untuk remote support dari vendor
    • Masalah: Tidak ada batasan waktu (24/7 aktif)

  2. Tanpa VPN atau Firewall Khusus

    • TeamViewer langsung exposed ke internet
    • Tidak ada segmentasi jaringan IT-OT

  3. Password TeamViewer Lemah

    • Diduga menggunakan password default
    • Tidak ada Multi-Factor Authentication (MFA)

  4. Tidak Ada Monitoring

    • Tidak ada log siapa yang mengakses kapan
    • Tidak ada alert untuk akses dari luar negeri

  5. Human Factor

    • Operator melihat mouse bergerak sendiri tapi mengabaikan
    • Tidak ada pelatihan security awareness

Lessons Learned untuk PDAM

❌ JANGAN:

  • Gunakan TeamViewer/AnyDesk tanpa pengamanan
  • Biarkan remote access aktif 24/7
  • Gunakan password default
  • Abaikan aktivitas mencurigakan

✅ WAJIB:

  • Gunakan VPN + MFA untuk remote access
  • Segmentasi jaringan IT dan OT
  • Matikan remote access jika tidak digunakan
  • Latih staf untuk waspada terhadap anomali
  • Monitoring real-time terhadap akses jarak jauh

🔍 Studi Kasus Mendalam: PDNS Indonesia (2024)

Insiden ini adalah peringatan keras bahwa Indonesia juga sedang diserang.

Timeline Singkat

┌─ 20 November 2024 ──────────────────────────────┐
│ Pagi   - Sistem PDNS mulai bermasalah           │
│ Siang  - Ratusan layanan pemerintah lumpuh      │
│ Sore   - Dikonfirmasi: serangan ransomware      │
│         LockBit 3.0                             │
│ Malam  - BSSN, Kominfo, dan CNERT turun tangan  │
│ Hari+  - Pemuluan memakan waktu berminggu-minggu│
└─────────────────────────────────────────────────┘

Dampak Langsung

  • ✅ 200+ layanan publik terganggu
  • ✅ Data pemerintah terenkripsi
  • ✅ Sistem negara lumpuh sebagian
  • ⏱️ Kerugian miliar rupiah

Analisis Serangan

Apa itu LockBit 3.0?

LockBit adalah ransomware-as-a-service (RaaS):

  • Kelompok LockBit menyewakan ransomware ke afiliasi
  • Afiliasi yang melakukan serangan
  • Keuntungan dibagi 70-30 (afiliasi-LockBit)

Taktik LockBit:

  1. Double Extortion: Enkripsi data + ancaman bocorkan data
  2. Triple Extortion: Enkripsi + bocorkan + DDoS jika tidak bayar
  3. Deadline: 24-72 jam sebelum data di-delete/dibocorkan

Lessons Learned untuk PDAM

❌ JANGAN:

  • Anggap "kami kecil, tidak menarik perhatian hacker"
  • Tidak punya backup offline
  • Tidak punya Incident Response Plan
  • Menganggap backup cloud cukup (bisa terenkripsi juga)

✅ WAJIB:

  • Backup offline rutin (minimal mingguan)
  • Backup offline terpisah dari jaringan (tidak terhubung internet)
  • Incident Response Plan tertulis dan diuji
  • Cyber insurance pertimbangkan

🚩 Indikator Kompromi (IoC): Tanda-Tanda Kompromi

Bagaimana PDAM tahu jika sedang diserang?

Tanda-Tanda Teknis

Kategori Indikator Contoh
Network Koneksi aneh ke luar negeri Koneksi ke IP Rusia/China jam 2 pagi
Network Traffic spike tidak wajar 10 GB data upload keluar (padahal jarang)
System Akun baru dibuat User "admin1" muncul tiba-tiba
System Policy berubah sendiri Firewall rules dimatikan sendiri
Application SCADA berubah sendiri Nilai setpoint berubah tanpa input operator
User Login jam aneh User login jam 3 pagi dari luar kota
User Gagal login berulang 50x gagal login dalam 5 menit (brute force)

Tanda-Tanda Non-Teknis

  • Staf melihat mouse bergerak sendiri
  • Program membuka/menutup sendiri
  • File berubah ekstensi (.locked, .encrypted)
  • Pop-up aneh ("Your files have been encrypted")
  • Lambat tiba-tiba (indikator malware mining/exfiltration)
  • Bebas dari internet padahal seharusnya online

🎯 Strategi Mitigasi Berbasis Ancaman

Setelah mengenal ancaman, apa yang harus dilakukan?

Prioritas Mitigasi (Berdasarkan Risiko)

🔴 KRITIS (Lakukan SEKARANG)

  1. Matikan atau Amankan Remote Access

    • Matikan TeamViewer/AnyDesk jika tidak aktif digunakan
    • Gunakan VPN + MFA jika remote access wajib
    • Batasi hanya dari IP tertentu (whitelist)

  2. Implementasi Backup Offline

    • Backup rutin ke media terpisah (hard disk eksternal)
    • Simpan di lokasi berbeda (offsite backup)
    • Uji pemulihan backup minimal 3 bulan sekali

  3. Security Awareness Training

    • Latih semua staf (bukan hanya IT)
    • Fokus pada phishing, social engineering, reporting
    • Uji coba phishing simulasi

  4. Password Policy Dasar

    • Hapus password default
    • Paksa password minimal 12 karakter
    • Implementasi MFA untuk akses kritikal

🟠 PENTING (Lakukan dalam 1-3 bulan)

  1. Segmentasi Jaringan IT-OT

    • Pisahkan jaringan kantor dan SCADA
    • Gunakan firewall antara IT dan OT
    • Implementasi VLAN

  2. Monitoring dan Logging

    • Aktifkan log di server, router, switch
    • Gunakan SIEM (Security Information and Event Management)
    • Review log minimal mingguan

  3. Vulnerability Assessment

    • Scan jaringan untuk celah keamanan
    • Update firmware perangkat kritikal
    • Buat prosedur update yang aman

  4. Incident Response Plan

    • Buat SOP langkah-langkah jika insiden terjadi
    • Tentukan peran dan tanggung jawab
    • Latih tim dengan simulasi

🟡 NICE TO HAVE (Lakukan dalam 3-6 bulan)

  1. Penetration Testing

    • Hire profesional untuk tes penetrasi
    • Fokus pada SCADA dan sistem kritikal
    • Perbaiki celah yang ditemukan

  2. Cybersecurity Insurance

    • Pertimbangkan asuransi siber
    • Lindungi dari dampak finansial insiden

  3. Certification (ISO 27001, dll)

    • Tingkatkan kematangan keamanan siber
    • Demonstrasi komitmen keamanan

📊 Matriks Risiko: Ancaman x Dampak

                    DAMPAK
                Rendah    Sedang    Tinggi
            ┌─────────┬─────────┬─────────┐
      Tinggi│ Phishing│ Ransomw │ SCADA   │
      (Likely)│ Training│ Backup  │ Intrus  │
            ├─────────┼─────────┼─────────┤
ANCAMAN Sedang│ Defacem│ Supply  │ Insider │
      (Medium)│ DDoS    │ Chain   │ Threat  │
            ├─────────┼─────────┼─────────┤
      Rendah│ Zero-da │ APT     │ State   │
      (Unlikely)│ y       │ Intelij │ Sponsor │
            └─────────┴─────────┴─────────┘

Prioritas Mitigasi:

  1. SCADA Intrusion (Tinggi x Tinggi) = MITIGASI KRITIS
  2. Ransomware (Tinggi x Sedang) = MITIGASI KRITIS
  3. Insider Threat (Sedang x Tinggi) = MITIGASI PENTING

🎯 Key Takeaways: Apa yang Harus Anda Lakukan?

Untuk Direksi PDAM:

  1. ✅ Pahami ancaman nyata yang dihadapi PDAM
  2. ✅ Alokasikan anggaran untuk mitigasi kritis (backup, MFA, training)
  3. ✅ Tunjuk tim tanggap insiden (Incident Response Team)
  4. ✅ Pertimbangkan asuransi siber untuk transfer risiko

Untuk Manajer IT:

  1. ✅ Audit remote access segera (matikan atau amankan)
  2. ✅ Implementasi backup offline rutin
  3. ✅ Segmentasi jaringan IT-OT
  4. ✅ Deploy monitoring dan review log

Untuk Staf Lapangan/Operator:

  1. ✅ Waspada aktivitas aneh (mouse bergerak sendiri, program buka-tutup)
  2. ✅ JANGAN colok flashdisk sembarangan ke komputer SCADA
  3. ✅ LAPORKAN segera jika melihat sesuatu yang mencurigakan
  4. ✅ Ikuti pelatihan security awareness

📖 Lanjut ke Bab Berikutnya

Bab ini membahas APA ancaman yang dihadapi dan BAGAIMANA mereka menyerang.

Bab selanjutnya akan membahas struktur jaringan PDAM (IT/OT) dan di mana letak kelemahan yang perlu diperbaiki.

📝 Diskusi Refleksi

Setelah membaca bab ini, jawab pertanyaan berikut:

  1. Apakah PDAM Anda pernah mengalami serangan siber (phishing, defacement, dll)?
  2. Bagaimana PDAM Anda mengelola akses remote ke sistem SCADA?
  3. Apakah PDAM Anda memiliki backup offline yang terpisah dari jaringan?
  4. Apakah staf Anda sudah dilatih mengenai indikator kompromi (IoC)?
  5. Siapa yang harus dihubungi jika terjadi insiden siber (Contact Person)?

Jika banyak jawaban "tidak" atau "tidak tahu", jangan khawatir. Bab-bab selanjutnya akan memandu Anda langkah demi langkah.

Selamat membaca! Semoga bab ini membuka mata Anda tentang ancaman nyata yang dihadapi PDAM. 🛡️💧

📚 Referensi

  • ICS-CERT. (2021). Alert AA21-057A: Remote Access Tool Exploitation. US-CERT.
  • BSSN. (2024). Laporan Keamanan Siber Indonesia 2024. Badan Siber dan Sandi Negara.
  • LockBit 3.0 Ransomware. (2024). Analysis of Attack Vectors. Cybersecurity & Infrastructure Security Agency.
  • WaterISAC. (2022). Ransomware Attacks on Water and Wastewater Systems. Water Information Sharing and Analysis Center.

Disclaimer: Tulisan ini adalah pandangan pribadi penulis dan tidak mewakili pandangan organisasi mana pun. Isi bab ini disajikan untuk tujuan edukasi, bukan nasihat keamanan siber, hukum, atau teknis resmi. Penerapan pada sistem yang sedang beroperasi tetap memerlukan verifikasi dan penyesuaian oleh pihak yang berwenang di organisasi masing-masing.

Sebelumnya

Bab 1: Pendahuluan

Selanjutnya

Bab 3: Lingkungan IT/OT

🧭 Sudah tahu level kematangan keamanan PDAM Anda? Coba asesmen singkatnya →