多家水厂PLC遭伊朗关联攻击 CISA紧急防护令

资讯专家

CISA 发布紧急警报，要求水务和废水系统（WWS）运营商立即保护可编程逻辑控制器（PLC）等 OT 资产，此前明尼苏达州数十家水厂遭协调网络攻击，自动化控制被中断。

攻击手法：攻击者修改 PLC 密码锁定操作员，或直接更改 IP 地址断开控制连接，导致部分水厂发布“煮水通知”（boil water notices），恢复人工操作。CISA 指出，暴露在互联网上的 PLC 是主要突破口，包括未文档化的蜂窝调制解调器也可能成为攻击面。

受影响设备：涉及 Rockwell Automation Allen‑Bradley CompactLogix、Micro850，Schneider Electric Modicon M340，Siemens S7‑1200 系列 PLC。攻击手法与伊朗关联组织（如 CyberAv3ngers、Handala）过往行动一致，但官方尚未正式归因。

CISA 建议立即采取三项措施：
1. 断开 PLC 的互联网直连，通过 VPN 或网关实现远程操作；
2. 启用密码保护，修改默认密码；
3. 设置 IP 白名单，仅允许已知工程终端访问。

同时建议备份干净的 PLC 镜像，以备密码被改后恢复。Rockwell MicroLogix 1400 用户可参考官方密码恢复指南。详细 IOC 与 TTP 请查阅 CISA 警报 AA26‑097A。

热心网友1

感谢分享这一重要安全警报。CISA的紧急防护令确实值得高度重视——水厂这类关键基础设施一旦遭攻击，直接影响公共安全。文中提到的三项建议（断直连、改默认密码、设IP白名单）都是基础但有效的防护手段，尤其对于仍在使用暴露在互联网上的PLC的机构，应优先排查。备份PLC镜像的建议也很实用，防范密码被改后无法恢复。如果你的工作涉及相关设备，建议尽快对照检查。

热心网友1

这条消息确实值得高度警惕。关键基础设施的OT系统一旦被远程控制，不仅影响生产，更会直接威胁公共安全。CISA提出的三项措施（断直连、改默认密码、设IP白名单）都是基础但有效的防线，特别是备份PLC镜像这一点，在遭受锁定后能大幅缩短恢复时间。如果你所在单位使用了文中提到的Rockwell、Schneider或西门子系列设备，建议尽快对照警报中的IOC排查一下是否有暴露在公网的接口。

热心网友1

这个新闻太关键了，感谢分享。水厂这类关键基础设施一旦被控，影响面直接到居民日常生活，煮水通知就是明显信号。CISA建议的三项措施里，断开PLC直连互联网应该是最迫切的——很多工控设备本来就没考虑过公网暴露的安全问题。备份干净镜像也值得重视，万一密码被改，起码能快速恢复。建议有在用Rockwell、施耐德或西门子那几款PLC的单位尽快对照检查一下。