先给出直接的答案：可编程逻辑控制器（PLC）就是在您的工厂或设施里真正负责启动水泵、关闭阀门、触发报警的那个小盒子。自2026年7月下旬以来，攻击者正是利用这类直接暴露在公共互联网上的设备，在美国至少12个州的供水企业中发动攻击。他们篡改了设备内部的运行逻辑，关闭了报警和安全停机程序，并不断更改密码和网络地址，直到操作人员无法再访问自己的设备。造成的后果不是文件泄露，而是水压丧失、发生淹水，以及水厂被迫转为手动运行。如果您管理着一条生产线或一栋配有控制系统的建筑，今天需要回答的问题简单而具体：您是否有哪怕一台控制器可以从公共互联网访问？

究竟发生了什么

美国网络安全和基础设施安全局（CISA）、联邦调查局（FBI）及其他联邦机构发布了编号为AA26-097A的联合通告，该通告最初于2026年4月7日发布，并于2026年7月22日更新。这次更新并非表面文章：它增加了检测Rockwell Automation PLC程序中所用可复用代码模块内恶意更改的指导，并将受攻击硬件的范围扩大到Schneider Electric、Siemens及其他厂商的设备。2026年7月30日，CISA另行发布警报，敦促供水和污水处理行业保护其运营技术，防范专门针对PLC的攻击活动。

这种手法值得关注，恰恰因为它并不高明，也不涉及任何昂贵的零日漏洞。攻击者先找到一台暴露在互联网上的控制器，然后使用官方工程软件，也就是您自己的工程师所用的同一款软件，下载项目文件并编辑其中的梯形图逻辑。接着，他们篡改Add-On Instructions，关闭安全停机和报警，并伪造HMI和SCADA画面上的显示内容，使操作人员看到的读数一切正常，而水箱或生产线实际上在做完全不同的事情。最后，他们更改设备上的密码和IP地址，并在现场调制解调器上安装一个轻量级SSH服务，以便在重启后仍能保持访问。顺序很关键：显示伪造发生在破坏之前，这正是多家运营方发现得太晚的原因。

规模说明了其余的一切。仅在明尼苏达州，就有30多个社区供水系统被报告遭到攻击，攻击活动还蔓延到密歇根州、新泽西州、佐治亚州和南达科他州等其他州。比数字更能说明问题的，是CISA代理局长在2026年8月的表态：团队仍在发现暴露在互联网上的控制器，有的根本没有设置密码，有的仍在使用出厂默认密码。他给行业的信息只有两句话：让你们的运营技术离开互联网，并设置密码。

如果您在沙特阿拉伯运营设施，这为什么重要

因为硬件相同、厂商相同、习惯也相同。Rockwell、Siemens和Schneider的控制器在沙特王国和其他任何地方一样，驱动着生产线、处理厂、楼宇水泵、冷水机组和楼宇管理系统（BMS）。而在这些事件中打开大门的那种习惯无处不在：安装承包商为了能快速为您提供服务而要求远程访问，于是在现场路由器上开放一个端口，或加装一台独立的蜂窝调制解调器，之后这个临时安排被遗忘，一用就是好几年。没有人记录，没有人审查，它也从不出现在任何IT资产清单中，因为它根本就不归IT管。

正因为如此，沙特阿拉伯国家网络安全局（NCA）发布了《运营技术网络安全控制措施》（OTCC-1:2022）。这些措施面向政府和私营实体中的敏感工业设施，为工业控制系统规定了最低保护基线。该文件配有合规评估工具和设施分类工具，用于判断某一站点的敏感程度。如果您从事供水、能源、制造或设施管理，这些控制措施就不是可读可不读的材料，而今年夏天的这波攻击给了您一个运营层面的理由，把实施计划提前，而不是往后推。

真正的差距：IT是一个世界，OT是另一个世界

大多数组织用办公IT的思维来对待运营技术安全，而这正是核心问题所在。在IT世界里，首要任务是数据保密，您每月打补丁，夜里重启服务器也不会带来什么真正的麻烦。在OT世界里，首要任务是连续性和安全；一台控制器可能十年都不更新，因为停下它就意味着停产；它的操作系统本来就是陈旧的设计；它使用的协议诞生于一个默认网络真正与外界隔离的年代，因此完全不包含身份验证或加密。

结果是，常规工具在这里派不上用场：在HMI工作站上装杀毒软件可能导致停产，一次常规的漏洞扫描就可能让一台敏感的控制器宕机。真正有效的是架构：把网络分开，管控两者之间唯一的交汇点，并让所有从运营世界流向业务世界的数据都是只读的。

本周应采取的七项行动

  • 盘点真正暴露在外的设备。要求列出与您各站点相关的所有公网IP，以及安装在控制室内的所有蜂窝调制解调器。这份清单通常比您预想的要长，其中还有IT团队里谁都不知道的设备。
  • 关闭直接访问。任何控制器或HMI都不应能从公共互联网访问。远程访问须经由VPN或代理网关，配合多因素身份验证和限时权限，按需开放，用完即关。
  • 更改所有默认密码。是的，这条建议既老套又乏味，但这恰恰是调查人员如今在真实设施中仍然发现完全敞开的地方。
  • 对网络进行分段。办公网络和生产网络不能是同一张扁平网络。两者之间的流量只能通过一个受管控、受监控的点。
  • 把模式开关拨到Run。控制器上的物理钥匙开关可以阻止远程下载逻辑。这是一个简单、有效且零成本的设置。
  • 保存控制器逻辑和配置的离线副本。一旦逻辑被篡改或密码被更改，一份可信的副本就决定了您是在几小时内恢复，还是要花几天。
  • 监控变更，而不只是监控入侵。这里真正重要的警报不是"发现病毒"，而是"7号控制器上的逻辑在凌晨2:40发生了变更，却没有开立任何维护工单"。定期将正在运行的逻辑与批准的基线进行比对，并记录差异。

这与您正在建设的数字化项目有何关系

每一个工厂、仓库或设施的数字化项目都会提出同样的需求：我们想要一个实时显示产线绩效的看板，以及水泵停转时推送到手机的通知。这个需求完全合理；风险出在实现方式上。快捷的做法是把云系统直接连到控制网络，或者开放一个端口让它读取数据，而这恰恰会让这样一连串的事件从国外新闻变成发生在您自己现场的事故。

正确的做法只需多花几天时间：在中间设置一个数据网关，只从运营世界读取数据、从不向其写入；数据只沿一个方向流动，从生产端向上流向业务看板；每个集成都使用独立的身份，并只授予其能够工作的最小权限；从业务系统下发到车间的每一条指令都记录在防篡改日志中。我们在Origami设计运营、仓储和维护系统时，这种隔离不是最后才加上的安全项，而是第一天就做出的架构决策，因为事后再补，就意味着要从头重建整个集成。

今年夏天这波攻击带来的实际教训，并不是运营技术很危险，而是它最常被打开的门也正是最简单的门：一台被遗忘在互联网上的设备、一个默认密码，以及承包商那个悄然变成永久的临时访问权限。关上这三扇门，需要的是一个管理层决定和一周的工作，而不是一笔额外的预算。

资料来源