伊朗正瞄准美国供水系统——袭击才刚刚开始

伊朗水系统网络攻击的真实规模远超报道

在明尼阿波利斯郊区首次出现针对美国市政水系统的协调性网络攻击迹象一个月后，官方叙事已在我们的脚下悄然转变。

联邦执法部门最初称，约有30个水系统——主要在明尼苏达州——遭到入侵。归因明确：伊朗国家黑客。手段具体：可编程逻辑控制器（PLC），即调节饮用水系统中阀门、水流量和化学处理的工业计算机。

如今，美国网络空间基础设施安全局（CISA）表示，实际遭受-targeted的有12个州的100多个水务提供商。

最初的估算未必是谎言。它反映的是各机构迅速掌握的信息——以及小镇公用设施往往根本不知道的情况。

令你警觉的数字

CISA的最新警报描述了对水务与废水处理系统领域超过100个暴露在互联网的系统所实施的恶意活动，其中许多通过直接连接蜂窝调制解调器的PLC进入。最后一个细节至关重要。这些不是建立在空气隔离网络背后的加固型工业控制系统。它们是具备电话线级别连接能力的设备，通过一次互联网搜索即可从任何地方访问。

地理范围的分布同样关键。威斯康星州、密歇根州、明尼苏达州——这些毗邻五大湖的州份拥有世界上一些最大的淡水储备。横跨海岸至海岸的十二个州。这次行动并非局部性，而是系统性的。

伊朗国家黑客多年来一直在试探美国的基础设施。但这次行动代表着不同的东西：一种从情报收集和破坏向"随时准备破坏"姿态的有意转移。PLC的访问权限不仅让你能够监视，还能让你控制。让你能够调整化学药剂投加量、改变流速、关闭处理流程。监视一个水系统和能够改变从水龙头流出的物质的区别，就是间谍和破坏者的区别。

无声的受害者

让这个故事真正令人不安的是：这100多个遭受-targeted的公用事业设施中，大多数可能至今仍不知道自己已被入侵。

Dragos公司的关键基础设施应急响应专家莱斯利·卡哈特（Lesley Carhart）直截了当地说：“由于资金削减和预算有限，小型水务设施检测网络事件和网络威胁的能力难以企及。很不幸，它们中的很多很长时间都不知道。”

小型水务系统为数百万美国人提供服务。它们通常由两三个人运营，身兼数职——操作员、会计、IT支持、应急响应人员。当联邦政府削减基础设施网络安全拨款、市政预算不断收缩时，这些公用设施自然就成为了低垂的果实。

卡哈特警告说，攻击手册现在已经广泛可用。AI和大型语言模型等工具降低了理解如何与PLC交互的门槛。“一旦有个想法流传开来，比如这些公用设施存在漏洞，它们就很容易被找到，“她说，“人们开始利用他人的经验来发动自己的攻击，尝试相同的战术。所以知识已经流传开来，潘多拉的魔盒已打开。”

这不是预测。这是网络犯罪中可观察到的趋势。当由国家支持 tactics 通过AI辅助研究变得商品化时，攻击者群体将呈指数级扩张。伊朗可能发起了这次行动。但它绝不会是最后一个使用这一手段的行为体。

伊利诺伊问题

伊利诺伊州并不在CISA公开确认受影响的十二个州之列。但这种缺席告诉你的，与其说是美国脆弱性的情况，不如说是美国的透明度政策。

NBC芝加哥调查团队发现，伊利诺伊州没有法规要求水务系统在遭遇计算机入侵时向执法部门或公众报告。换句话说：即使伊利诺伊州的水务系统遭到-targeted，它们可能也从未报告过。它们现在可能仍在被入侵的状态下运营。

这是一个结构性问题，而非伊利诺伊州特有的问题。在全国范围内，关键基础设施的报告在许多行业仍是自愿性的。公用设施担心声誉受损。它们担心引发恐慌。它们担心合规的成本超过被入侵的成本。结果是一种隐性流行病——对提供现代国家最基本服务的系统的未检出入侵持续蔓延。

接下来会发生什么

直接的推论很简单：美国政府很可能只摸清了一个更大入侵链条的冰山一角。如果CISA在一个月后才确认100个目标，实际数量可能更高。许多公用设施永远不会报告。有些可能已经在其控制系统中仍活跃着后门的情况下运营。

第二个推论是地缘政治层面的。伊朗已证明，它可以相对 impunity 地深入渗透美国平民基础设施。名单前列的任何一个公用设施都没有充分的防御能力。没有任何一起入侵引发了公众警报。这次行动实现了战略效果——扰乱人们对基本服务的信任——却没有开一枪，也没有污染一滴水。

外溢风险是真实的。欧洲的水务系统使用类似的PLC。亚洲的市政基础设施依赖相同的商业控制器供应商。伊朗针对美国水务系统构建的工具包是可移植的。每一个拥有资金不足的小型公用设施和暴露在互联网上的工业控制系统的国家，现在都已在同一份名单上。

唯一没有改变的是政治回应。没有紧急资金宣布。没有强制入侵披露框架。没有针对每天依赖这些系统的社区开展公共教育活动。

水流仍在继续。至少在目前。但萦绕在工程师和分析师心头的问题是，当下一次入侵不再是一次侦察试探，而是真正的攻击时，会发生什么。