Agresi Siber Iran 2026: Dari Spionase ke Operasi Destruktif terhadap Infrastruktur Kritis Global

Ringkasan Eksekutif

Paruh pertama 2026 menandai eskalasi paling serius dalam agresi siber Iran terhadap infrastruktur kritis global. Bertepatan dengan meningkatnya ketegangan geopolitik dan konflik kinetik di Timur Tengah, kelompok Advanced Persistent Threat (APT) yang terkait dengan Iran telah bergeser dari operasi spionase tradisional menuju serangan destruktif yang menargetkan sektor air, energi, dan kesehatan — infrastruktur yang secara langsung berdampak pada keselamatan publik.

FBI dan CISA secara bersama mengeluarkan advisory AA26-097A yang memperingatkan bahwa aktor siber Iran secara aktif mengeksploitasi Programmable Logic Controllers (PLC) dan Human Machine Interfaces (HMI) yang terpapar internet untuk memanipulasi kontrol tekanan, pengaturan kimia, dan parameter keselamatan di fasilitas pengolahan air. Ribuan perangkat OT/ICS di seluruh dunia masih berjalan dengan default credentials — menjadikannya target yang sangat rentan terhadap serangan yang berpotensi mengancam nyawa.

Pergeseran Strategis: Dari Spionase ke Destruksi

Timeline Eskalasi

2020-2023  Aktivitas spionase tradisional — pencurian IP, pengintaian jaringan
2024       Mulai eksperimen dengan malware destruktif (wiper, data deletion)
2025       Serangan sporadis terhadap sektor energi dan pertahanan
2026 Q1    Eskalasi besar — serangan destruktif terhadap Stryker (Maret 2026)
2026 Q2    Kampanye sistematis terhadap sektor air dan energi AS-Eropa

Faktor Pendorong

Pergeseran ini didorong oleh beberapa faktor:

Konflik kinetik di Timur Tengah (awal 2026) — perang konvensional mendorong penggunaan siber sebagai senjata asimetris
Normalisasi serangan destruktif — keberhasilan operasi sebelumnya menurunkan ambang risiko
Ekosistem proxy yang matang — kelompok hacktivis pro-Iran menyediakan plausible deniability
Kerentanan OT/ICS yang meluas — ribuan PLC dan HMI masih terpapar internet tanpa proteksi memadai

Kelompok APT dan Proxy Hacktivis

Handala

Handala adalah kelompok paling agresif di antara aktor Iran pada 2026. Bertanggung jawab atas serangan terhadap Stryker (produsen perangkat medis global), Handala mendemonstrasikan kemampuan yang jauh melampaui hacktivis biasa:

HANDALA CAPABILITIES (2026)

HANDALA

Kompromi Microsoft Entra (Azure AD) — generate Temporary Access Passes untuk bypass MFA
Kompromi VMware vSphere — kontrol hypervisor
Kompromi IBM FlashSystem — akses storage langsung
Deploy wiper malware via Microsoft Intune
Enkripsi + data deletion simultan
Operasi multi-bulan dengan persistence tersembunyi

MuddyWater (Seedworm / Static Kitten)

MuddyWater beroperasi di bawah Ministry of Intelligence and Security (MOIS) Iran dan tetap menjadi tulang punggung operasi spionase siber negara. Pada 2026, kelompok ini:

Menargetkan sektor energi, pertahanan, dan telekomunikasi
Menggunakan PowerShell-based backdoor dan legitimate admin tools untuk evasi
Mengkombinasikan misi spionase dengan deploy ransomware sebagai diversifikasi operasi

Cyber Av3ngers (CL-STA-1128 / Storm-0784)

Kelompok ini secara khusus fokus pada sistem kontrol industri (ICS):

Mengeksploitasi PLC Rockwell Automation dan Unitronics yang terpapar internet
Menyalahgunakan software FactoryTalk yang diinstal di Virtual Private Server (VPS)
Mendapatkan akses tidak sah ke situs industri dan water treatment facilities
Menggunakan default credentials untuk akses ke HMI dan engineering workstation

Studi Kasus: Serangan Destruktif terhadap Stryker

Kronologi Serangan (Maret 2026)

STRYKER ATTACK TIMELINE

STRYKER

[T-90 hari] Initial access via compromised credentials
[T-60 hari] Persistence di Microsoft Entra environment
[T-45 hari] Lateral movement ke VMware vSphere
[T-30 hari] Akses ke IBM FlashSystem storage
[T-14 hari] Generate Temporary Access Passes (MFA bypass)
[T-0] Deploy wiper malware via Microsoft Intune
[T+0] Data deletion dari ribuan endpoint
[T+1] Klaim tanggung jawab oleh Handala

Dampak

Serangan terhadap Stryker merupakan salah satu insiden siber paling destruktif yang diatribusikan ke aktor Iran:

Microsoft Intune environment dikompromikan — menjadi vektor distribusi wiper
Ribuan endpoint mengalami penghapusan data
Operasi manufaktur perangkat medis terganggu secara signifikan
Data dari IBM FlashSystem storage berpotensi dieksfiltrasi sebelum dihapus

Teknik yang Digunakan

Yang membedakan serangan ini adalah penggunaan Temporary Access Passes (TAP) di Microsoft Entra:

Attacker memperoleh akses ke Entra admin portal
Membuat TAP — kode satu kali yang memungkinkan login tanpa MFA
Menggunakan TAP untuk mengakses akun administrator
Memanfaatkan hak admin untuk deploy wiper melalui Intune ke seluruh endpoint

Teknik ini sangat efektif karena melewati seluruh lapisan MFA tanpa memicu alert — TAP adalah fitur sah Microsoft Entra.

Target Infrastruktur Kritis: Sektor Air dan Energi

CISA Advisory AA26-097A

Pada April 2026, CISA mengeluarkan advisory yang merinci:

Aktor Iran mengeksploitasi PLC yang terhubung internet — termasuk Unitronics dan Rockwell Automation
Default credentials digunakan untuk akses ke HMI — banyak fasilitas air masih menggunakan password bawaan pabrik
Manipulasi parameter operasional dimungkinkan — termasuk tekanan air, dosis kimia, dan siklus treatment
Potensi dampak keselamatan publik — perubahan parameter dapat menyebabkan kontaminasi atau kegagalan sistem

Ilustrasi Skenario Serangan Water Treatment

# SIMULASI SERANGAN TERHADAP WATER TREATMENT FACILITY

[FASE 1] Attacker memindai internet untuk PLC/HMI yang terpapar
         └── Shodan/Censys query: "Unitronics" port:20256

[FASE 2] Menemukan HMI dengan default credentials (admin:admin)
         └── Akses penuh ke engineering interface

[FASE 3] Modifikasi parameter operasional:
         ├── Set point chlorine: 1.5 mg/L -> 12.0 mg/L
         ├── pH control: disable alarm
         └── Pressure regulator: override safety limit

[FASE 4] Log manipulasi dihapus dari HMI
         └── Operator tidak menyadari perubahan

[FASE 5] Attacker keluar — meninggalkan facility dengan parameter berbahaya
         └── Deteksi hanya terjadi saat inspeksi manual atau insiden kualitas air

ZionSiphon — Malware Khusus Water Facility

Peneliti keamanan mengidentifikasi strain malware bernama ZionSiphon yang dirancang khusus untuk menargetkan fasilitas air:

Kemampuan memanipulasi kadar klorin dan tekanan air
Embedded messaging politik — malware membawa pesan propaganda
Anti-forensic — menghapus jejak modifikasi parameter
Menargetkan PLC Unitronics secara spesifik

Teknik dan Taktik: Beyond Conventional APT

Matriks MITRE ATT&CK — Teknik Kunci

Tactic	Technique ID	Deskripsi
Initial Access	T1078.004	Valid Accounts: Cloud Accounts
Initial Access	T1190	Exploit Public-Facing Application (PLC/HMI)
Persistence	T1098	Account Manipulation (TAP generation)
Persistence	T1543.003	Create or Modify System Process: Windows Service
Defense Evasion	T1556.006	Multi-Factor Authentication Request Generation
Credential Access	T1003.001	OS Credential Dumping: LSASS Memory
Lateral Movement	T1021.002	Remote Services: SMB/Windows Admin Shares
Impact	T1485	Data Destruction (wiper)
Impact	T1561.002	Disk Structure Wipe

Abuse Legitimate Tools

Kelompok Iran sangat mahir dalam menggunakan legitimate administrative tools:

# Tools yang disalahgunakan
AnyDesk.exe             # Remote desktop yang sah
PsExec.exe              # Microsoft Sysinternals
Rclone.exe              # Cloud sync untuk eksfiltrasi
MegaSync.exe            # Cloud storage untuk staging data
procmon.exe             # Process Monitor untuk reconnaissance

Teknik ini — dikenal sebagai living-off-the-land — menyulitkan deteksi karena aktivitas attacker tampak identik dengan aktivitas admin IT.

Eksploitasi Sistem Kontrol Industri (ICS/OT)

Lanskap OT yang Rentan

Ribuan perangkat OT/ICS di seluruh dunia masih terhubung ke internet tanpa keamanan memadai:

Negara	Estimasi PLC Terpapar	Sektor Terdampak
Amerika Serikat	1,500+	Air, energi, manufaktur
Jerman	900+	Manufaktur, energi
Inggris	400+	Air, transportasi
Israel	250+	Air, energi
Negara Teluk	300+	Minyak & gas, air desalinasi

Protokol OT yang Ditargetkan

Modbus TCP (port 502) — protokol komunikasi PLC paling umum
EtherNet/IP (port 44818) — digunakan oleh Rockwell Automation
S7comm (port 102) — PLC Siemens
BACnet (port 47808) — sistem otomasi gedung

Dampak Geopolitik dan Risiko Eskalasi

Respons Internasional

Serangan destruktif Iran telah memicu respons dari komunitas internasional:

CISA + FBI — joint advisory dan peningkatan threat sharing
NATO — Artikel 5 diskusi tentang threshold serangan siber
Uni Eropa — sanksi tambahan terhadap individu dan entitas terkait
INCD (Israel) — peningkatan postur pertahanan siber nasional

Proyeksi Risiko

RISK PROJECTION Q3-Q4 2026

RISK

[HIGH] Serangan terhadap water treatment facilities di AS dan Eropa terus berlanjut
[HIGH] Ekspansi target ke sektor transportasi dan grid listrik — potensi dampak kaskade
[MEDIUM] Serangan supply chain melalui vendor ICS/OT Infrastructure — seperti incident SolarWinds
[MEDIUM] Eskalasi ke sektor keuangan — destabilisasi ekonomi sebagai tujuan strategis
[LOW] Serangan cyber-physical dengan dampak kinetik langsung — kerusakan fisik pada peralatan

Rekomendasi Mitigasi

Untuk Operator Infrastruktur Kritis

Jangan expose PLC/HMI ke internet — gunakan VPN atau jump server
Ganti default credentials segera — ini bukan opsional, ini kritis
Segmentasi jaringan OT dari IT — DMZ antara OT dan corporate network
Monitor protokol OT — deteksi perintah tidak wajar ke PLC
Terapkan NIST CSF — terutama fungsi Identify, Protect, Detect, Respond, Recover
Backup konfigurasi PLC — offline, immutable backup untuk recovery cepat

Untuk Administrator IT/Cloud

# Rekomendasi mitigasi untuk tenant Microsoft 365 / Entra

identity_protection:
  - monitor_temporary_access_pass_creation: true
  - alert_on_admin_role_assignment_outside_hours: true
  - block_legacy_authentication: true
  - enforce_phishing_resistant_mfa: true

endpoint_protection:
  - monitor_intune_app_deployment_anomaly: true
  - restrict_device_wipe_to_authorized_personnel: true
  - enable_tamper_protection_windows_defender: true

cloud_security:
  - monitor_cross_tenant_access: true
  - alert_on_privileged_role_activation: true
  - review_enterprise_applications_quarterly: true

Checklist Keamanan ICS/OT

[ ] Inventarisasi semua perangkat OT yang terhubung ke jaringan
[ ] Scan untuk default credentials di semua HMI dan PLC
[ ] Verifikasi tidak ada PLC/HMI yang terpapar langsung ke internet
[ ] Implementasi network segmentation OT/IT (Purdue Model)
[ ] Deploy OT-specific IDS (Nozomi, Dragos, Claroty)
[ ] Buat incident response plan khusus untuk insiden OT
[ ] Latih operator OT tentang keamanan siber dasar
[ ] Lakukan tabletop exercise skenario serangan PLC

Kesimpulan

Agresi siber Iran pada 2026 merepresentasikan pergeseran fundamental dalam lanskap ancaman terhadap infrastruktur kritis. Tidak lagi puas dengan spionase pasif, aktor Iran kini secara aktif berupaya menimbulkan kerusakan fisik, gangguan operasional, dan dampak keselamatan publik melalui operasi siber destruktif.

Kelompok seperti Handala membuktikan bahwa batas antara hacktivisme dan state-sponsored operations semakin kabur. Kemampuan teknis mereka setara APT — kompromi Microsoft Entra, VMware vSphere, IBM FlashSystem — namun atribusi sengaja dibuat ambigu melalui penggunaan proxy hacktivis. Plausible deniability adalah bagian dari strategi.

PLC dan HMI yang terpapar internet tetap menjadi low-hanging fruit paling berbahaya. Ribuan perangkat OT/ICS di seluruh dunia masih berjalan dengan default credentials dan tanpa segmentasi jaringan. Setiap detik perangkat ini terhubung ke internet tanpa proteksi adalah undangan terbuka bagi aktor yang berniat jahat — dan konsekuensinya tidak lagi hanya berupa data yang dicuri.

Serangan destruktif terhadap Stryker mendemonstrasikan kerentanan cloud-native yang belum diantisipasi. Temporary Access Passes, Intune, dan Entra — semua fitur sah Microsoft — menjadi senjata di tangan penyerang. Ini adalah peringatan bahwa tooling enterprise yang sama yang digunakan untuk efisiensi operasional juga bisa menjadi vektor distribusi malware yang sangat efektif.

Pertahanan terhadap ancaman ini memerlukan perubahan paradigma: OT security bukan lagi afterthought, melainkan prioritas utama. Air gap fisik, default credential elimination, network segmentation model Purdue, dan OT-specific monitoring adalah baseline — bukan best practice — untuk setiap operator infrastruktur kritis. Karena dalam lanskap ancaman 2026, PLC yang terpapar internet bukan lagi risiko keamanan siber — ia adalah risiko keselamatan publik.

Artikel ini disusun berdasarkan advisory CISA AA26-097A, analisis Cybersecurity Dive (April 2026), laporan CSIS, FBI FLASH alerts, serta pemantauan tim Threat Intelligence Seraphim News.