真不是危言耸听——黑客没用AI，没写一行高深代码，也没挖什么零日漏洞。就靠扫到一台连着公网的PLC，输了个默认密码，点几下鼠标，30多座水厂的水泵、阀门、水压监控全黑了。明尼苏达州那场7月26号半夜开始的攻击，像一把钝刀子，不炫技，但割得准、割得深。供水压力骤降，泵站积水漫地，运维人员盯着屏幕干瞪眼，最后只能抄起扳手跑现场，人工拧阀门、抄水表。这不是演习，是现实里活生生断掉的城市血脉。
更扎心的是：这事儿早有预兆。SpyCloud翻出1787家美国水务机构的被盗凭证，其中至少250家的账号能直通远程控制系统——说白了，黑客手里攥着的不是工具，是钥匙串。而那家被黑的计量技术供应商，一家中招，牵出167家下游水厂，相当于把整条供应链的门锁图纸免费送人。这些系统大多没开多因素认证，没关远程管理端口，有的甚至还在用‘admin/admin’这种出厂密码。安全不是没做，是做了个寂寞。
别再只盯着AI有多可怕了。真正让水厂裸奔的，从来不是技术多先进，而是人懒得改密码、预算舍不得买防火墙、老设备十年不打补丁、新员工没上过一次防钓鱼培训。当一个MicroLogix PLC能被当成普通路由器一样随便连网，当烧碱投加浓度能被远程调高十倍（2021年佛罗里达那次差点成功），我们就该明白：所谓关键基础设施的安全，从来不在服务器机柜里，而在每个值班员按下回车键前，有没有多想一秒——这密码，真是我设的吗？
这事儿其实离我们比想象中近得多。北京某郊区水厂去年就曝出过类似隐患：运维日志里清清楚楚写着“远程访问端口23（Telnet）长期开启”，而登录凭证居然是用Excel表格存的，文件名就叫《水厂账号密码-2023终版.xlsx》，共享权限设成了“所有人可编辑”。这不是段子，是国家网信办《2023年关键信息基础设施安全检查通报》里白纸黑字点名的案例。
更让人后背发凉的是，很多PLC连基础的日志功能都没开。深圳一家供水集团自查时发现，下属6座加压站的控制器连续14个月没生成任何操作日志——不是被删了，是出厂就没启用。黑客来过没？改过参数没？谁在半夜三点调低了余氯值？没人知道。系统不记，人也不记，最后全靠值班员凭印象写手写巡检表。
还有人觉得“小水厂没人盯”，结果2022年浙江某县级水司被黑，起因是财务人员点了钓鱼邮件里的“工资条更新链接”，病毒顺着内网一路爬到SCADA服务器——那台服务器和办公电脑共用同一个Wi-Fi路由器，而路由器管理员密码，是贴在机柜门上的便利贴，上面印着“water2022”。
不是技术不行，是习惯没跟上。西门子、罗克韦尔这些厂商早出了免费的PLC固件升级工具，也发布了几十份《工业控制系统安全加固指南》，但一线老师傅说：“一升级，老仪表通讯就掉线，报修要等三天，不如不动。”——这话听着实在，可代价呢？是下次再出事，可能不是停水两小时，而是管网余氯归零后，整片社区的腹泻病例突然翻倍。
安全从来不是买套设备就完事。它藏在交接班时多问一句“上回改的密码谁还记得”，藏在新员工入职培训里那节没人打瞌睡的实操课，藏在采购单上愿意给防火墙多加两万块预算的签字笔迹里。当一个拧扳手的老工人能下意识挡住实习生去点陌生远程连接，当调度室墙上贴的不再是“安全生产标语”，而是“今天你改密码了吗？”——那才是真正在长骨头。
天顺优配提示：文章来自网络，不代表本站观点。
