美国好几个州的水厂最近让人黑了。事不小，可白宫第一反应不是堵漏洞，是骂对手。这出戏比黑客本身还值得看。下面我把来龙去脉讲清楚。
7月26号到27号，明尼苏达州三十多个社区的供水系统遭了协同网络攻击。黑客直接拿下了控制水阀和水泵的PLC设备，改了密码，把操作员挡在系统外头。好几个小镇被迫切回人工操作，勉强供上水。布拉姆市的水厂干脆关停了几个小时，官方紧急喊话居民省着用。梅普尔普莱恩市直接宣布进入紧急状态。普利茅斯市两座水塔和多个泵站的通信全线瘫痪。
到7月30号，FBI和环保署联合通报，全美起码七个州的供水系统都挨了打。密歇根州随后确认，有九个系统被波及。专家估摸实际范围只会更广，毕竟被攻的那些PLC设备在美国五十个州都在用。眼下唯一能算好消息的，是还没迹象显示水质被改、饮用水暂时安全。可这话听着更瘆人，黑客这回只是让你断几小时水、让操作员手忙脚乱，下次要是真往里下毒呢。
7月31号，特朗普在戴维营的内阁会议上被问到，伊朗是不是幕后黑手。他给的答案是这样的，我认为是明尼苏达州在背后搞鬼，你知道谁在背后吗，明尼苏达州，因为他们极其无能，我认为是州长在背后搞鬼，我不认为是伊朗发动了网络攻击。没有任何证据，也没有逻辑，硬把锅扣在民主党籍的明尼苏达州州长蒂姆·沃尔兹头上。
FBI、CISA、环保署的专家们口径一致，都说伊朗嫌疑最大。联邦官员私下跟《纽约时报》讲，伊朗是头号嫌犯。布拉姆市长说FBI"几乎肯定是伊朗干的"，只是不愿公开讲。这些特朗普一概不听。沃尔兹在社交媒体上怼了回去，特朗普非常清楚谁该负责，也知道别的州也被攻击了，这就是现代战争的样子，也进一步说明美国根本没有打赢对伊战争的方案。
一个国家的水厂被外国黑客攻破，总统的第一反应不是召集国安团队，不是部署防御，不是安抚民众，而是借这个机会打政敌。这种戏码在美国政治里上演过太多次，不管出什么事，先看看能不能拿来当政治牌打。
整件事最让人咂舌的，不是黑客多高明，是美国的水厂太不设防。全美大约十五点一万座水厂，只有大概四百二十家加入了那个提升网络安全的WaterISAC组织。算下来，百分之九十九点七的水厂在网络安全上基本是光着身子，剩下的那点防护全靠自觉，出了事没人兜底。
专家约书亚·科曼说得扎心，我们只有不到百分之零点五的人在关注这事儿，美国的水系统脆弱得离谱，我们一直像待宰的羊，只是过去没谁盯着水，现在这个时代结束了。黑客这次用的手段，根本谈不上什么高技术，就是扫描那些挂在网上的PLC设备，专挑密码薄弱甚至干脆没密码的下手。不少小型水厂靠第三方承包商配安全设置，而这些承包商用的往往是出厂默认密码。这就像你把家门智能锁的密码设成六个零，然后惊讶地发现被人拧开了。
更离谱的是，美国水行业一直在抵制网络安全监管。2023年拜登政府想把网络安全审计塞进强制水质检查，结果被多个州和行业协会联手告了，理由是"环保局没这个权力""合规成本会让小水厂破产"。监管进不来，钱也不给，小水厂只能沿用那套老掉牙的配置，漏洞就这么一年年攒着。当初省下的那笔合规钱，够不够填这次被黑之后的窟窿，账不难算。
工业控制系统一旦被拿下，操作员可能压根察觉不到异常。网络安全专家库尔特·高德特讲得很直白，操作员屏幕上看到的还是正常显示，警报不会响，整个过程可能在没人知情的情况下就滑进危险状态。最可怕的其实不是停水，是在没人知道的时候已经被推到危险边缘，等发现时往往已经晚了。
伊朗是头号嫌疑犯，这事不是凭空来的。德黑兰对美国供水系统的兴趣不是一天两天。2016年，美国司法部就起诉过一群伊朗黑客，他们攻击了纽约市附近一座小水坝。今年4月和7月，CISA接连预警，说伊朗黑客一直盯着美国的水和能源设施。今年2月底美伊开战以来，德黑兰明显加大了网络攻击的力度。该预警的预警了，该警告的警告了，预警发了跟没发一样，防线该漏还是漏，然后呢，全美七个州的水厂还是被攻破了。
布拉姆市长内特·乔治讲了句大实话，眼前真正的问题，是怎么建一套更安全的系统，升级IT基础设施花销太大，而他们是非常小的城市。小城市没钱升级，联邦政府不给钱、不监管、不保护，总统还在忙着甩锅，这水厂的安全到底谁来管。
黑客当然该骂。可话说回来，如果不是美国的水厂脆弱到这份上，黑客想攻也攻不进来。一个超级大国，关键基础设施的网络安全居然靠"自愿参与"。十五万座水厂，只有四百二十家愿意花钱做防护。默认密码、过时系统、联网的PLC，这些漏洞摆了不止十年。专家一年又一年地警告，预警一份接一份地发，从奥巴马时代到拜登时代，从国会听证到CISA通报，话说了一箩筐，钱没见着，法没立起来，漏洞原封不动。美国不是不知道问题，是不愿意为问题买单。然后呢，什么都没变。
特朗普说"是明尼苏达州无能"，这话某种程度上还真说对了一半。他嘴里的"无能"是指责政敌，可真正的"无能"，是一个国家对自己关键基础设施的长期忽视，是两党互相扯皮二十年什么都没干成，是每次出了事才想起来"哦，原来我们还有这个问题"。
好莱坞惊悚片里，外国黑客攻破美国水厂，英雄紧急出动力挽狂澜。现实版是，黑客攻破了，水厂停了，总统在跟州长吵架，专家在说"我们早就警告过了"，小城市长在发愁没钱升级系统。这剧本比好莱坞的难看多了，但它是真的。
镜头里美国是网络战霸主，镜头外十五万水厂用着六个零的密码。特朗普忙着甩锅的时候，敌人早已不在门外，而在系统里头，这，就是超级大国最真实的底色。
热门跟贴