Serangan Kartu SIM Jahat Bisa Kuasai Pengisi Daya EV

Telset.id – Kerentanan keamanan baru ditemukan pada fitur standar kartu SIM yang memungkinkan perangkat pengisi daya kendaraan listrik (EV charger) dikuasai penuh oleh peretas. Tim peneliti dari University of Birmingham dan perusahaan keamanan Jerman, Fuzzware, berhasil menunjukkan serangan ini terhadap pengisi daya EV komersial merek Autel, mencapai eksekusi kode yang sepenuhnya dikendalikan oleh perintah dari kartu SIM.

Penelitian ini mengungkap bahwa sembilan dari 26 perangkat yang diuji memiliki antarmuka perintah SIM yang terbuka. Yang paling memprihatinkan, enam dari delapan modul seluler yang biasa tertanam di pengisi daya EV, router industri, dan unit telematika mobil, rentan terhadap serangan ini. Ini berarti perangkat machine-to-machine (M2M) yang seringkali tidak terurus menjadi target paling berisiko.

Fitur yang dieksploitasi bernama Proactive SIM. Sebenarnya, fitur ini adalah standar dalam spesifikasi seluler yang memungkinkan SIM mengirim perintah ke perangkat, bukan hanya sebagai penanda identitas pasif di jaringan. Namun, ada satu perintah spesifik bernama RUN AT yang menjadi masalah. Perintah ini meminta modem untuk mengeksekusi perintah AT, bahasa kontrol modem yang berasal dari Hayes Smartmodem tahun 1981 dan telah dikembangkan oleh setiap vendor dengan tambahan masing-masing.

Dukungan untuk perintah ini pada dasarnya memberikan modul SIM konsol general-purpose sendiri pada perangkat yang tidak memiliki pengaman yang memadai. Dengan kata lain, kartu SIM jahat dapat menginstruksikan perangkat untuk menjalankan perintah apa pun yang diinginkan penyerang. Tim peneliti yang terdiri dari Tomasz Piotr Lisowski dan Dr Marius Muench dari Birmingham, bersama Kristian Covic dari Fuzzware, membangun toolkit bernama CATana untuk menyelidiki apa yang bisa dilakukan kartu berbahaya dengan konsol tersebut.

Hasil pengujian pada 26 perangkat (18 smartphone dan delapan modul seluler) menunjukkan paparan risiko yang timpang. Enam dari delapan modul seluler menerima perintah tersebut, sementara hanya tiga dari 18 ponsel yang rentan, yaitu Oppo Find X5, Oppo Reno 14 F 5G, dan Asus Zenfone 9. Menariknya, tidak ada iPhone atau Pixel yang masuk dalam daftar perangkat rentan. Semua sembilan perangkat yang rentan menggunakan chip atau modem Qualcomm, namun lima perangkat lain dengan chip yang sama tidak terpengaruh.

Para peneliti pertama kali membagikan laporan ini kepada Google, Oppo, Quectel, Semtech, dan Qualcomm pada Maret 2026, kemudian kepada GSMA pada Mei. Menanggapi temuan ini, Qualcomm telah membangun konfigurasi yang diperketat yang menonaktifkan antarmuka ini secara default. Konfigurasi tersebut akan menjadi standar pada perangkat-perangkat masa depan.

Meskipun serangan ini nyata dan perlu diwaspadai, vektor serangannya terbatas. Penyerang harus sudah menguasai SIM itu sendiri. Mengetahui nomor kontak korban saja tidak cukup; penyerang membutuhkan akses fisik ke slot SIM. Hal ini membuat eksploitasi ini tidak seefektif serangan jarak jauh pada smartphone. Namun, sisi IoT justru lebih mengkhawatirkan: peralatan yang tidak dijaga dengan baki SIM yang mudah diakses kini berpotensi dieksploitasi, dan penggantian fisik mungkin lebih mudah dilakukan dibandingkan dengan perangkat pribadi seperti ponsel.

Ancaman pada Perangkat Machine-to-Machine

Kartu SIM jahat pada dasarnya dapat berbicara dengan komputer setara Linux yang tertanam di perangkat. Penelitian ini menyebutnya sebagai permukaan serangan yang kaya untuk kartu SIM yang bermusuhan. Ironisnya, sementara smartphone modern telah sebagian besar menghentikan penggunaan permukaan yang dieksploitasi ini, dunia machine-to-machine belum melakukannya. Peralatan yang paling tidak mungkin menerima pembaruan firmware justru menjadi yang paling terpapar saat ini.

Temuan ini menunjukkan bahwa meskipun serangan terhadap ponsel pribadi memiliki utilitas terbatas, dampak pada infrastruktur penting seperti pengisi daya EV dan router industri bisa jauh lebih serius. Perangkat-perangkat ini sering ditempatkan di lokasi umum yang mudah diakses, memungkinkan penyerang untuk mengganti kartu SIM secara fisik tanpa menarik perhatian. Setelah kartu jahat terpasang, penyerang bisa mendapatkan kendali penuh atas perangkat tersebut.

Penelitian ini juga menyoroti kesenjangan keamanan antara perangkat konsumen dan perangkat industri. Meskipun Qualcomm telah merespons dengan cepat dengan konfigurasi yang diperketat, belum ada vendor yang menerbitkan advisory publik tentang kerentanan ini. Ini menjadi pengingat bahwa keamanan siber tidak hanya tentang melindungi data pribadi, tetapi juga infrastruktur fisik yang semakin terhubung. Untuk informasi lebih lanjut tentang ancaman siber lainnya, kamu bisa membaca tentang AI Agents yang bisa mencuri kredensial dari data publik.

Para peneliti menekankan bahwa meskipun eksploitasi ini membutuhkan akses fisik, dampaknya pada perangkat IoT yang tidak terawat sangat signifikan. Pengisi daya EV di tempat umum, router industri di gedung perkantoran, atau unit telematika di armada kendaraan komersial semuanya berpotensi menjadi target. Dengan semakin banyaknya perangkat yang terhubung ke internet, permukaan serangan ini akan terus berkembang. Ancaman serupa juga ditemukan pada GPT-Red, LLM super hacker yang diciptakan OpenAI untuk keamanan AI.

Serangan ini mengingatkan kita bahwa keamanan tidak hanya tentang perangkat lunak, tetapi juga tentang bagaimana perangkat keras dirancang. Fitur Proactive SIM yang dirancang untuk memudahkan komunikasi antara kartu dan perangkat ternyata bisa disalahgunakan. Meskipun Qualcomm telah mengambil langkah untuk menonaktifkan antarmuka ini secara default di masa depan, perangkat yang sudah beredar di lapangan tetap rentan hingga menerima pembaruan.

Para ahli keamanan menyarankan agar operator infrastruktur penting segera melakukan audit terhadap perangkat M2M mereka dan mempertimbangkan langkah-langkah pengamanan fisik untuk mencegah akses ke slot SIM. Sementara itu, pengguna ponsel yang perangkatnya termasuk dalam daftar rentan (Oppo Find X5, Oppo Reno 14 F 5G, dan Asus Zenfone 9) disarankan untuk mewaspadai pertukaran SIM yang mencurigakan. Perkembangan keamanan siber lainnya, termasuk GPT-5.6-Cyber untuk pertahanan siber, menunjukkan bahwa ancaman terus berevolusi seiring dengan teknologi.

Meskipun belum ada laporan tentang eksploitasi nyata di lapangan, temuan ini menjadi peringatan dini bagi industri. Kolaborasi antara peneliti akademis dan perusahaan keamanan seperti Fuzzware menunjukkan pentingnya pengujian keamanan proaktif pada perangkat yang terhubung. Dengan semakin terintegrasinya teknologi seluler ke dalam infrastruktur kritis, keamanan kartu SIM dan modem menjadi aspek yang tidak bisa diabaikan lagi.