Сначала прямой ответ: программируемый логический контроллер (ПЛК, англ. PLC) — это небольшой блок, который на вашем заводе или объекте на самом деле запускает насос, закрывает задвижку и включает сигнализацию. С конца июля 2026 года злоумышленники эксплуатируют именно такие устройства, напрямую доступные из публичного интернета, на объектах водоснабжения как минимум в 12 штатах США. Они изменили заложенную в них логику работы, отключили сигнализацию и процедуры безопасного останова, сменили пароли и сетевые адреса, пока операторы не потеряли доступ к собственному оборудованию. Последствиями стали не утекшие файлы, а падение давления воды, затопления и станции, вынужденные перейти на ручное управление. Если у вас производственная линия или здание с системами управления, вопрос, на который нужно ответить сегодня, прост и конкретен: доступен ли из публичного интернета хотя бы один ваш контроллер?

Что произошло на самом деле

Агентство по кибербезопасности и защите инфраструктуры США (CISA), ФБР и другие федеральные ведомства выпустили совместное предупреждение под номером AA26-097A, впервые опубликованное 7 апреля 2026 года и обновленное 22 июля 2026 года. Обновление не было косметическим: в него добавили рекомендации по обнаружению вредоносных изменений в повторно используемых модулях кода, применяемых в программах ПЛК Rockwell Automation, и расширили перечень затронутого оборудования, включив в него устройства Schneider Electric, Siemens и других производителей. 30 июля 2026 года CISA опубликовало отдельное оповещение, призвав сектор водоснабжения и водоотведения защитить свои операционные технологии от активности, направленной именно на ПЛК.

Метод заслуживает внимания именно потому, что он не гениален и не требует дорогой уязвимости нулевого дня. Злоумышленник находит контроллер, открытый в интернет, а затем с помощью официального инженерного ПО — того же, которым пользуется ваш собственный инженер, — скачивает файл проекта и редактирует в нем релейную логику (ladder). Дальше он вмешивается в Add-On Instructions, чтобы отключить безопасные остановы и сигнализацию, и подделывает то, что показывают экраны HMI и SCADA, так что оператор видит совершенно нормальные показания, а резервуар или линия в это время делает нечто совсем другое. Наконец, он меняет пароли и IP-адреса на устройствах и устанавливает легкую службу SSH на модем площадки, чтобы сохранить доступ после перезагрузки. Порядок важен: подделка отображения идет раньше ущерба, поэтому многие операторы заметили все слишком поздно.

Масштаб говорит сам за себя. Только в Миннесоте сообщили о том, что атакам подверглись более 30 муниципальных систем водоснабжения, а активность распространилась и на другие штаты, включая Мичиган, Нью-Джерси, Джорджию и Южную Дакоту. Показательнее самой цифры было заявление исполняющего обязанности директора CISA в августе 2026 года: команда по-прежнему находила контроллеры, открытые в интернет вовсе без пароля или с заводским паролем по умолчанию. Его обращение к отрасли уместилось в два предложения: уберите свои операционные технологии из интернета и установите пароль.

Почему это важно, если вы эксплуатируете объект в Саудовской Аравии

Потому что это то же оборудование, те же производители и та же привычка. Контроллеры Rockwell, Siemens и Schneider управляют производственными линиями, очистными сооружениями, насосами зданий, чиллерами и системами управления зданиями (BMS) в Королевстве так же, как и везде. А привычка, открывшая дверь в этих инцидентах, есть повсюду: подрядчик-монтажник просит удаленный доступ, чтобы быстро вас обслуживать, на роутере площадки открывают порт или ставят отдельный сотовый модем, а потом временное решение забывают, и оно на годы становится постоянным. Никто его не документирует, никто не проверяет, и оно не появляется ни в одной ИТ-инвентаризации — просто потому, что к ИТ оно не относится.

Именно поэтому Национальное управление кибербезопасности Саудовской Аравии (NCA) выпустило Меры кибербезопасности для операционных технологий (OTCC-1:2022). Они предназначены для критичных промышленных объектов государственных и частных организаций и устанавливают минимальный базовый уровень защиты систем промышленного управления. К документу прилагаются инструмент оценки соответствия и инструмент классификации объектов, позволяющий определить, насколько критична конкретная площадка. Если вы работаете в водоснабжении, энергетике, производстве или управлении объектами, эти требования не факультативное чтение, а волна атак этого лета дает вам операционную причину ускорить график внедрения, а не откладывать его.

Настоящий разрыв: ИТ — один мир, ОТ — другой

Большинство организаций подходят к безопасности операционных технологий с мышлением офисного ИТ, и в этом корень проблемы. В мире ИТ главный приоритет — конфиденциальность данных, вы ставите обновления каждый месяц и перезагружаете сервер ночью без особых проблем. В мире ОТ главный приоритет — непрерывность и безопасность; контроллер может проработать десять лет без обновлений, потому что его остановка означает остановку производства, его операционная система устарела по замыслу, а протоколы, на которых он работает, создавались в эпоху, когда считалось, что сеть действительно изолирована, поэтому в них нет никакой аутентификации или шифрования.

Следствие в том, что привычные инструменты здесь не помогают: антивирус на станции HMI может остановить производство, а обычное сканирование уязвимостей может «уронить» чувствительный контроллер. Работает архитектура: разделить сети, контролировать единственную точку перехода между ними и сделать доступным только для чтения все, что уходит из мира операций в мир бизнеса.

Семь действий на этой неделе

  • Проведите инвентаризацию того, что действительно открыто. Запросите список всех публичных IP-адресов, связанных с вашими площадками, и всех сотовых модемов, установленных в диспетчерских. Этот список обычно длиннее, чем вы ожидаете, и в нем есть устройства, о которых никто в ИТ-команде не знает.
  • Закройте прямой доступ. Ни один контроллер или HMI не должен быть доступен из публичного интернета. Удаленный доступ идет через VPN или шлюз-посредник, с многофакторной аутентификацией и ограниченным по времени разрешением, которое открывается по запросу и затем закрывается.
  • Смените все пароли по умолчанию. Да, совет старый и скучный — и именно это следователи до сих пор находят нараспашку на реальных объектах.
  • Сегментируйте сети. Офисная и производственная сети не должны быть одной плоской сетью. Трафик между ними проходит через единственную управляемую и контролируемую точку.
  • Переведите переключатель режима в положение Run. Физический ключ-переключатель на контроллере блокирует удаленную загрузку логики. Простая и эффективная настройка, которая ничего не стоит.
  • Храните автономную копию логики и конфигурации контроллеров. Если логику изменили или сменили пароль, доверенная копия — это разница между восстановлением за часы и восстановлением за дни.
  • Отслеживайте изменения, а не только вторжения. Важное оповещение здесь не «обнаружен вирус», а «логика на контроллере № 7 изменилась в 2:40 ночи, а заявка на обслуживание не открывалась». Регулярно сравнивайте работающую логику с утвержденной эталонной версией и фиксируйте расхождения.

Где это касается проектов цифровизации, которые вы строите

Каждый проект цифровизации завода, склада или объекта приходит с одним и тем же запросом: нам нужна панель, показывающая работу линии в реальном времени, и уведомление на телефон, если насос остановился. Запрос совершенно законный; риск проявляется в том, как его реализуют. Быстрый путь — подключить облачную систему напрямую к сети управления или открыть порт, чтобы она могла из нее читать, — и именно это превращает цепочку инцидентов вроде этой из зарубежной новости в инцидент на вашей собственной площадке.

Правильный путь стоит всего на несколько дней больше: шлюз данных посередине, который читает из мира операций и никогда в него не пишет, единственное направление потока данных — от производства вверх к бизнес-панелям, отдельная учетная запись для каждой интеграции с минимальными правами, с которыми она может работать, и защищенный от подделки журнал каждой команды, идущей от бизнес-системы вниз в цех. Когда мы в Origami проектируем системы для операций, складов и обслуживания, это разделение — не элемент безопасности, прикрученный в конце, а архитектурное решение, принимаемое в первый день, потому что внедрить его позже значит перестроить интеграцию с нуля.

Практический урок волны этого лета не в том, что операционные технологии опасны. Он в том, что их чаще всего открытые двери также самые простые: забытое устройство в интернете, пароль по умолчанию и временный доступ подрядчика, который незаметно стал постоянным. Все три закрываются решением руководства и неделей работы, а не исключительным бюджетом.

Источники