你手机里存着几个App密码？电脑浏览器自动填的‘记住密码’，是不是连银行登录页都帮你点开了？这事儿放在普通人身上顶多丢个账号，可要是换成水厂管理员——那真就是拧开了全城水龙头的总阀门。SpyCloud公司一查吓一跳：全美1787家供水和污水处理机构的员工凭证，早被infostealer类恶意软件悄悄扒光了。不是什么高精尖0day漏洞，就是靠盗取Chrome、Edge里保存的账号密码，再配上一段活跃的登录会话cookie，黑客连VPN都不用绕，直接走进内网后台。
更扎心的是，其中至少250家单位泄露的密码，能直通远程访问系统，而这些系统连着水泵、阀门、加药泵——不是看数据的，是真能调水压、改药量、关泵站的。有家没点名的计量设备供应商，自己中招后，167家依赖它的水厂全被拖下水。Jason Lancaster说得直白：‘这等于把一百多家毫无关联组织的钥匙，一把交到了犯罪分子手上。’
别再说‘关键设施很安全’了。过去它没被大规模攻破，不是因为牢不可破，只是太麻烦——得懂PLC寄存器含义、得看懂梯形图逻辑、得知道哪个变量对应哪根输水管。但现在，AI生成脚本能伪装成正常监控工具，弱口令+公网暴露的MicroLogix PLC，三步就能夺控：扫描→默认密码登录→改IP锁死运维权限。明尼苏达州30多个社区水压骤降、泵站瘫痪，靠人工抄表、手摇阀门硬撑；佛罗里达那次，黑客差点把烧碱浓度调到危及生命的水平。所幸有人盯着屏幕及时拉闸。但下一次呢？
其实这些事儿，早有苗头。2021年佛罗里达奥尔德马ar水厂被黑，黑客远程登录后把氢氧化钠剂量从100ppm调到11000ppm——相当于往一池子水里倒了整整一桶烧碱。幸好值班员发现监控画面里药剂曲线突然飙高，立刻切到本地控制台手动关停。事后FBI报告写得清楚：攻击者用的就是泄露的远程桌面凭证，连两步验证都没设。（来源：CISA 2021年公开通报）
不是没人提醒。美国国土安全部早在2022年就发过紧急指令，要求所有关键基础设施必须禁用浏览器保存密码、停用默认账户、关闭不必要的远程端口。可现实呢？去年《Water Environment Federation》抽样调研了全美412家中小型水厂，结果37%仍在用“admin/admin”这类默认密码；61%的SCADA系统仍直接暴露在公网，没加任何网络隔离或零信任网关。（数据来源：WEF 2023年度网络安全报告）
更让人揪心的是人手和钱。一家日供水5万吨的县级水厂，全年IT预算可能不到8万元，连请个专职网安员都不够——运维老张既要修泵、抄表、填报表，还得兼职“看门大爷”。他手机里装着三个App，其中两个是厂家远程诊断工具，账号密码贴在工位抽屉内侧。这不是懒，是真没选择。美国环保署（EPA）自己都承认：全美超1.5万家公共供水系统中，近七成由雇员少于10人的小单位运营，而它们承担着全国近半数人口的日常用水。（EPA 2023年基础设施评估白皮书）
技术能补漏洞，但补不了断层。现在不少水厂开始换国产PLC、上国产SCADA，硬件是国产了，可操作界面还是英文菜单，培训材料三年不更新，新来的大学生对着梯形图发懵，老师傅还在用U盘拷参数。安全不是买套防火墙就完事，是让每个拧阀门的人，都知道自己手里的鼠标点下去，可能影响三千户人家今晚能不能冲掉碗里的饭粒。
说到底，水龙头拧得开，不等于它该被谁都能拧。我们信得过自来水，不是因为它永不被碰，而是因为有人天天盯着它、守着它、修着它——哪怕那人在机房里泡面吃了一周，也得让他手里有把靠谱的钥匙，而不是一把被晒在网上的万能钥匙。
天顺优配提示：文章来自网络，不代表本站观点。
