Cyberthreat.id – Lebih dari 100 sistem irigasi pintar berbasis ICC PRO, sebuah perangkat lunak untuk irigasi, dibiarkan tanpa kata sandi (password) pada September lalu.

Mayoritas atau separuh dari jumlah sistem irigasi pintar itu ditemukan terbuka di Israel oleh perusahaan rintisan keamanan siber, Security Joes dan sebagian lagi di tersebar di dunia.

Sistem irigasi tersebut didesain oleh Motorola dan dipakai untuk pengelolaan pengairan pertanian, rumput, dan kompleks bangunan.

Co-founder Security Joes, Ido Naor, mengatakan, perusahaan yang memakai sistem ICC PRO tak mengubah pengaturan default pabrik yang ternyata tak menyertakan kata sandi untuk akun default-nya.

Naor mengatakan sistem dapat dengan mudah diidentifikasi secara daring dengan bantuan mesin pencari IoT, seperti Shodan, demikian seperti dikutip dari ZDNet, Senin (26 Oktober 2020).

Skenario serangan

Dengan kondisi tanpa kata sandi, penyerang mudah saja mengakses sistem ICC PRO via internet. Yang dilakukan penyerang hanyalah mengetikkan nama pengguna (username) admin default dan tekan “Enter” untuk mengakses control panel sistem irigas pintar itu.

Jika penyerang telah masuk, mereka mudah saja menunda atau menghentikan jadwal penyiraman, mengubah pengaturan sistem, mengontrol kuantitas air dan tekanan yang dikirim ke pompa, atau mengunci sistem irigasi dengan menghapus pengguna.

Peneliti Security Joes mengatakan telah melaporkan kondisi itu ke CERT Israel bulan lalu, termasuk mengontak para perusahaan yang terkena dampak, Motorola, dan berbagi temuan ke CERT di negara lain.

Naor memuji Motorola karena segera mengirimkan surat kepada pelanggan tentang bahaya membiarkan sistem irigasi terbuka secara daring.

Sejak pemberitahuan itu, sistem ICC PRO yang dapat diakses internet mulai turun menjadi 78 perusahaan saat berita ini diturunkan. Mereka mulai menempatkan sistem irigasi mereka di belakang firewall atau VPN.

Naor mengatakan, temuan perusahaannya tak ada kaitan dengan seruan Badan Keamanan Siber Israel (INCD) pada April 2020.

Sebelumnya, pemerintah Israel meminta pengelola fasilitas penyediaan air dan pengolahan air untuk mengubah kata sandi pada sistem manajemen berbasis webnya. Israel menuding peretas Iran menargetkan sistem pengelolaan air di seluruh Israel.[]