伊朗关联黑客盯上水务和电网：工业控制系统不是普通服务器

据 TechCrunch 报道，美国 FBI、NSA、能源部和 CISA 更新警报，称与伊朗政府有关联的黑客正在攻击美国水务和能源机构中直接暴露在互联网的工业控制系统。

一句话结论：这类攻击危险的地方不是黑客看到了几块监控屏幕，而是 PLC 控制着现实设备；一段被修改的逻辑可能让停机和告警机制同时失效。

政府警报称，攻击目标从 Rockwell 控制器扩大到 Schneider Electric 和 Siemens 产品。攻击者进入可编程逻辑控制器后，可以修改显示数据和控制逻辑，造成服务中断，甚至让系统在操作员没有收到告警的情况下进入不安全状态。

PLC 和普通服务器不同。它们通常负责泵、阀门、电机和压力控制，生命周期可能长达十几年。很多设备最初设计时默认运行在封闭工厂网络里，后来为了远程维护接入互联网，却没有同步增加现代身份认证、日志和分区防护。

美国政府披露，一家关键基础设施运营商的控制逻辑曾被修改，处理关键停机和告警的流程因此失效。这个案例由政府机构归因，但公开材料没有披露受害者身份和完整取证细节，不能据此断言所有联网 PLC 都已被攻破。

同样需要区分攻击者宣称与受害者确认。伊朗关联团体 Handala 声称入侵加州水务公司 Cal Water，并有能力影响供水；Cal Water 表示，没有发现其控制供水的运营网络被未授权访问。对归因和破坏效果，先问证据。

CISA 过去披露的同类活动显示，攻击者经常优先寻找互联网可见、使用默认密码或没有密码的控制器。防护重点因此并不神秘：取消不必要的公网暴露、更换默认凭证、使用多因素认证、把 IT 与 OT 网络分区，并对控制逻辑变化建立独立告警。

真正困难的是停机成本。水厂和电力设施不能像办公网站一样随时重装，老设备也可能不支持新认证方式。运营方需要在不中断服务的前提下建立跳板、只读监控、离线备份和人工应急流程。

韩启明认为，这不是“伊朗黑客拥有神奇武器”的故事，而是地缘冲突撞上了长期裸露的工业设备。攻击者是否先进固然重要，但一个公网地址加默认密码，足以让并不先进的攻击造成现实世界后果。

关键事实

• 来源：美国政府联合警报、CISA、TechCrunch
• 涉及机构与厂商：FBI、NSA、CISA、美国能源部、Rockwell、Schneider Electric、Siemens
• 核心技术：PLC、工业控制系统、OT 网络、控制逻辑
• 关键风险：停机与告警逻辑被修改、互联网暴露、默认凭证、IT/OT 边界不足

OC 判断

关键基础设施面临的主要问题不是缺少更响亮的威胁警告，而是仍有工业设备直接暴露在互联网。降低风险要从资产清单、网络分区、凭证和人工应急流程开始。

为什么重要

• 对开发者：为工业系统写远程管理和监控工具时，不能沿用普通 Web 服务的威胁模型。
• 对企业：OT 安全事件会直接影响生产、供水和能源供应，恢复成本远高于普通数据泄露。
• 对用户：水务和电力攻击可能造成现实服务中断，但攻击团体的宣传也不能未经核实就当成事实。

参考来源

• TechCrunch：Iran-linked hackers are disrupting American water and energy providers
• CISA：IRGC-affiliated actors exploit PLCs
• CISA：Iranian cyber actors may target vulnerable U.S. networks