---

一、脑洞大开：两场典型的网络攻击让我们瞬间醒来

案例‑1：明尼苏达三十座自来水厂“同步失眠”
2026 年 7 月底，明尼苏达州三十余座社区供水系统的运营技术（OT）相继出现异常。Bra m的水处理厂直接停机，Plymouth 两座水塔的蜂窝通信瘫痪，South St Paul 与 Maple Plain 的自动控制被篡改。虽然目前尚未确认攻击者身份，但从攻击手段、时间窗口以及受影响的 PLC/SCADA 设备特征来看，整个事件像是一场经过精心排练的“交响乐”。如果这只是一场戏，那它的演出现场就在我们身边的每一台仪表、每一根光纤、每一块路由器。

案例‑2：老挝河畔的“暗流”——2021 Oldsmar 市政水处理厂勒索攻击
两年前，美国佛罗里达州 Oldsmar 市的水处理厂被黑客侵入，利用远程访问的 PLC 将氯化钠浓度从 100 ppm 提升至 2 500 ppm。所幸现场操作员及时发现异常，及时手动纠正，事故未酿成大祸。事后调查显示，攻击者利用未打补丁的 WinCC 6.9（西门子）系统和默认口令，直接对现场的 HMI 进行指令注入。此案不仅让全球供水行业警钟大作，也把“谁在后台敲代码”这件事搬进了普通市民的视线。

这两起看似“地域”“行业”截然不同的攻击，却有着惊人的共通点：OT 环境的弱密码、默认凭据、缺乏细粒度的网络分段，以及对供应链（PLC、HMI）漏洞的盲目信任。它们共同提醒我们，信息安全不再是“IT 的事”，而是每一位员工、每一个业务环节的共同责任。

---

二、案例深度剖析：从攻击链到防御缺口

1. 攻击链的四大关键节点

阶段	典型手段	案例映射
① 侦察	扫描公开 IP、查询设备指纹、社交工程获取内部信息	明尼苏达攻击者在 7 月 26‑27 日的“同步时段”显示出对多地 OT 网络的事先了解，推测已在公开渠道收集了 PLC、SCADA 的 IP 以及厂区的通信图谱。
② 渗透	利用未打补丁的工业协议（Modbus/TCP、OPC UA）或弱口令远程登录	Oldsmar 案例中，攻击者凭借默认管理员口令直接登陆 WinCC 系统，获取对 PLC 的写权限。
③ 横向移动	在 OT 与 IT 之间搭建桥梁（VPN、RDP、SSH 隧道），绕过网络分段	明尼苏达事件中，多个水系统的“访问方式相似”，暗示攻击者利用同一套 VPN 入口或海量脚本实现跨站点横向渗透。
④ 破坏/勒索	改写 PLC 项目文件、修改 HMI 参数、禁用报警逻辑	Oldsmar 的氯化钠阈值被恶意改写；明尼苏达水厂的自动控制被“冻结”，导致系统无法正常运行。

2. 关键漏洞与错误配置

1. 默认凭据未修改：据 Tenable 研究，全球超过 30% 的工业控制系统仍使用出厂默认账号/密码。攻击者只需一次密码爆破，即可获得系统管理员权限。
2. 未启用安全审计：CISA 推荐的日志记录（包括蜂窝调制解调器连接、PLC 项目文件变更）在多数案例中缺失，使得异常行为难以及时发现。
3. 缺乏网络分段：IT 与 OT 网络混合在同一 VLAN，导致网络攻击一旦进入 IT 区即可直接渗透到关键控制系统。
4. 供应链漏洞盲目信任：Rockwell、Schneider、Siemens 等主流 PLC 的固件在过去一年被曝出可被远程注入后门，若不进行固件校验与签名验证，极易被植入恶意代码。

3. 直接教训与改进要点

教训	改进措施
弱密码是敲门砖	强制统一的密码策略（至少 12 位、包含大小写、数字、特殊字符）并定期更换；不允许使用默认凭据。
日志是防火墙的眼睛	部署集中日志系统（SIEM），对 PLC 项目文件变动、网络连接、控制指令执行进行实时关联分析。
网络分段是防护墙	采用工业 DMZ、VLAN 隔离 OT 与 IT，并在关键节点部署深度检测系统（IDS/IPS）仅允许白名单协议。
固件更新不可忽视	与供应商签订安全服务协议，定期获取并验证固件签名，使用可信启动（Secure Boot）防止恶意固件注入。
人员是第一道防线	开展针对性安全培训，使运维人员能够辨识异常 HMI 报警、手动验证 PLC 项目文件。

---

三、信息化、数智化、无人化的融合背景——安全挑战再升级

1. 信息化（IT）与数智化（AI/大数据）的深度融合

在当今的企业数字化转型中，IoT 传感器、云端大数据平台、AI 预测模型已经从“可选配件”成为业务的血脉。例如，供水系统利用实时水质监测数据喂入机器学习模型，以实现“异常自动报警”。然而，这也意味着 数据流的每一次跨越 都可能成为攻击者的潜在入口。

典故：古人云“善用兵者，必先知己知彼”。在数智化时代，知己即是对自身 IT/OT 资产、数据流向的全景可视化；知彼则是对威胁情报（如 CISA 的 PLC 警报）实时追踪。

2. 无人化（自动化、机器人）带来的新风险

“无人值守”的水泵站、自动化的污水处理站已经在全球范围内普及。机器人臂、无人机巡检、无人化阀门控制都极大提升了运营效率，却也让 单点失控的后果呈指数级放大。一旦攻击者控制了无人化核心控制器，就可能在数分钟内完成大规模的物理破坏。

笑点：如果把无人化比作“黏土模型”，那么攻击者就是那只偷偷在背后加了胶水的手——看似稳固，却随时可能崩塌。

3. 综合治理的“三位一体”模型

层面	关键任务	实施要点
技术层	零信任网络、强身份认证、实时威胁检测	引入基于行为的 AI 检测，引导异常流量至沙箱分析；对 PLC、HMI 实行基于硬件的 TPM 可信根。
流程层	安全运营中心（SOC）+ 工业安全运营中心（ISO）协同	制定 OT 事件响应预案，演练“从发现到恢复”的全链路；建立跨部门的危机沟通机制。
人员层	持续教育、情境演练、文化渗透	将安全意识培训与业务绩效挂钩，开展“红蓝对抗”演练，让每位员工都能在模拟攻击中“亲历”安全防御。

---

四、呼吁全员参与：信息安全意识培训即将开启

1. 培训的目标与价值

• 提升认知：让所有岗位（从前线运营到后台研发）都能识别常见的钓鱼邮件、恶意链接、可疑设备行为。
• 强化技能：通过实际案例复盘（包括本篇阐述的明尼苏达与 Oldsmar 事件），学习如何快速定位 PLC 项目异常、检查日志、执行手动恢复。
• 塑造文化：将“安全是每个人的事”落地为日常工作中的自觉行为，形成“安全先行、风险可控”的组织氛围。

2. 培训形式与互动环节

环节	内容	形式
开场情景剧	通过“模拟水厂停机”短片，引导学员感受业务中断的真实冲击	视频 + 现场投影
案例深度剖析	反向追踪攻击链、现场演示 HMI 参数篡改	PPT + 实机演示
红蓝对抗	小组分为“红队”“蓝队”，在受控环境中进行渗透与防御	现场演练 + 计分榜
技能实验室	使用开放源代码的 SCADA 仿真平台（如 OpenPLC）进行手动审计	线上练习平台
情景答题	围绕日常工作中的安全细节（密码管理、文件共享）进行即时答题	移动端答题 + 奖励

3. 参与方式与激励机制

• 报名渠道：公司内部 OA 系统 → “安全培训”模块，填写姓名、部门、期望学习方向即可。
• 激励措施：完成全部培训并通过考核的同事，将获得 “信息安全守护星” 电子徽章，且在年度绩效考核中加分；最佳红队/蓝队小组将获得公司内部流量套餐与专题纪念品。
• 后续成长：优秀学员可加入公司安全技术团队，参与真实的威胁情报分析、OT 安全评估等项目，快速提升职业竞争力。

4. 结束语：让安全成为数字化的“灯塔”

古人有言：“日出而作，日落而息”，在信息化、数智化、无人化的新时代，我们的“作”与“息”已经不再局限于手动工具，而是由数据流、算法和自动化设备共同驱动。如果灯塔的灯光被黑客熄灭，整个航道将陷入未知的暗礁。因此，我们每个人都必须成为点亮灯塔的守望者，用知识、用行动、用合作照亮前行的路。

亲爱的同事们，让我们在即将开启的信息安全意识培训中，携手共建坚不可摧的防线；让每一次点击、每一次配置、每一次沟通，都是对企业资产的守护。只有把“安全意识”根植于日常，才能在数字化浪潮中稳健前行，迎接更加智能、更加安全的明天。

让我们一起，用安全的灯光照亮数智化的航程！

---

在昆明亭长朗然科技有限公司，信息保护和合规意识是同等重要的两个方面。我们通过提供一站式服务来帮助客户在这两方面取得平衡并实现最优化表现。如果您需要相关培训或咨询，欢迎与我们联系。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

序言：让想象点燃危机意识

在信息化、智能化、数据化深度融合的今天，企业的每一台设备、每一次登录、每一段代码，都可能成为攻击者的入口。安全是一场没有硝烟的战争，只有把“危机想象”装进脑袋，才能在真正的风暴来临前及时拉起防线。下面，我将用 三场典型信息安全事件 进行头脑风暴，帮助大家在脑海中搭建起一座警示的灯塔，让每位职工在阅读时就能产生共鸣、产生警觉、产生行动的冲动。

---

案例一：伊朗关联组织潜入美国水务与能源 PLC，改写逻辑让“灯塔失明”

事件概述

2026 年 7 月，美国联邦机关（CISA、FBI、NSA、DOE）联合发布紧急通报，称伊朗关联的高级持续性威胁（APT）组织已经渗透美国多个水务和能源系统的可编程逻辑控制器（PLC），并通过修改项目文件、篡改 HMI/SCADA 显示、关闭关键报警与停机逻辑，让系统在异常状态下仍然“装作正常”。攻击者利用常见的 OT 端口（44818、2222、102、502）以及 SSH（22 端口）直接登录，使用供应商官方工具（如 Rockwell Studio 5000、Schneider EcoStruxure Control Expert、Siemens TIA Portal）下载、植入恶意项目文件。

攻击链细节

1. 侦查阶段：通过 Shodan、ZoomEye 等互联网资产搜索平台，定位暴露在公网的 PLC IP。
2. 入侵阶段：利用弱口令或未打补丁的 SSH/Modbus 服务，获取设备管理权限。
3. 横向移动：在取得一个 PLC 的控制权后，使用相同凭证扫描同一子网内的其他控制器。
4. 持久化阶段：将恶意的 Add‑On Instruction (AOI) 融入项目文件，保存为默认的逻辑库，使得即使更换 HMI 软件，恶意逻辑仍然生效。
5. 破坏阶段：删除或覆写安全报警、紧急停机指令，让系统在出现故障、泄漏或温度异常时无任何提示，直至产生物理灾害。

影响评估

• 运营中断：部分受害水厂在凌晨出现泵站失控，导致供水压力骤降，市民用水受限 3 小时以上。
• 经济损失：据初步统计，直接停产、设备维修及后期审计已累计超过 1200 万美元。
• 安全隐患：若攻击者进一步植入隐藏的 “死手指令”，可能导致管网破裂、化学品泄漏，后果不堪设想。

教训提炼

• 千万别让 PLC 直接暴露在公网：即便是厂商宣称的“云端监控”功能，也应通过 VPN、专用网关或工业防火墙进行层层过滤。
• 版本管理与文件完整性校验不可或缺：采用数字签名、只读文件系统、基线比对，任何未经授权的项目文件变动都应触发告警。
• 最小特权原则要落实到每一条协议：OT 端口不必全部开放，关键端口（如 502 Modbus）应只允许可信 IP 访问。

---

案例二：Adobe Acrobat Chrome 扩展漏洞泄露 WhatsApp 信息——看似小插件，暗藏巨大危机

事件概述

2026 年 5 月，安全研究员在 Chrome 网上应用店发现一款名为 “AcroPDF Enhancer” 的免费扩展，声称提供 PDF 高亮、注释与云同步功能。实测后发现该扩展在用户打开任何 PDF 页面时，悄悄注入 JavaScript 代码，读取浏览器中已登录的 WhatsApp Web 会话的 Cookie、联系人列表以及最近的聊天记录，并通过隐藏的 HTTP POST 请求发送至攻击者控制的服务器。

攻击链细节

1. 诱导下载：通过 SEO 优化和社交媒体投放，将扩展的下载链接推向企业员工的常用搜索结果。
2. 安装后持久化：利用 Chrome 扩展的 “host permissions” 获得对所有站点的访问权，保持长期监听。
3. 信息收集：当用户访问 web.whatsapp.com 时，注入脚本读取 localStorage 中的 auth_key、WABrowserId 等敏感信息。
4. 数据外泄：将收集到的 JSON 数据压缩后经加密通道发送到攻击者的 https://evil-data-collector.example.com/ingest，成功绕过企业的流量监控与 DLP（数据防泄漏）系统。

影响评估

• 企业机密泄露：不少员工使用 WhatsApp 与客户、合作伙伴沟通，敏感业务信息被窃取。
• 社交工程攻击升级：攻击者利用已知的聊天记录进行精准钓鱼，诱导受害者点击恶意链接或转账。
• 品牌声誉受损：一旦泄漏被媒体曝光，企业将面临客户信任度下降及监管部门的处罚。

教训提炼

• 审慎对待浏览器插件：不从官方渠道或未知来源安装插件，尤其是涉及文件读取或网络访问权限的。
• 实施最小化授权：Chrome 企业策略中应禁用非必要的扩展，或使用 ExtensionAllowlist 进行白名单管理。
• 加强 Web 会话监控：对关键 SaaS（如 WhatsApp、Slack）进行会话行为异常检测，发现异常的 Cookie 读取或跨站请求立即阻断。

---

案例三：Chaos 勒索软件推出基于浏览器的 msaRAT，悄无声息绕过网络检测

事件概述

2026 年 3 月，全球安全厂商报告称新一代 Chaos 勒索软件 不再仅依赖传统的文件加密与后门植入，而是首次在浏览器内部署 msaRAT（Malicious Script Attacker），利用现代 WebAssembly 与 Service Worker 机制在受害者的浏览器中持久驻留。该模块能够读取本地文件系统（受限于用户授权的文件夹）、拦截网络请求、甚至在用户离线时通过 Push API 与 C2（Command & Control）服务器保持心跳。

攻击链细节

1. 钓鱼邮件：攻击者发送带有伪装成内部公告的 HTML 邮件，诱导用户点击链接。
2. 恶意网页：链接指向一个伪装成内部知识库的页面，页面中嵌入了恶意的 WebAssembly 模块和 Service Worker 注册脚本。
3. 浏览器驻留：Service Worker 在后台持续运行，即使浏览器关闭也能在系统重启后自动恢复。
4. 横向渗透：利用浏览器的 CORS 漏洞，访问内部业务系统的 API，直接窃取敏感数据。
5. 触发勒索：当攻击者确认足够信息收集完毕后，利用浏览器的 File System Access API 加密本地文件（如工作文档、项目代码），并弹出勒索页面。

影响评估

• 检测困难：传统 IDS/IPS 主要聚焦网络流量层面的异常，而此类基于浏览器的攻击完全在客户端完成，难以被网络防御设备捕获。
• 业务中断：大量项目文件被加密，导致研发团队无法继续开发，项目交付延期。
• 恢复成本高：除非拥有完整的离线备份，否则只能支付高额赎金或重新构建系统。

教训提炼

• 限制浏览器权限：企业应通过组策略或端点管理平台禁用 WebAssembly、Service Worker、File System Access API 等高危特性。
• 强化终端检测与响应（EDR）：EDR 需要具备对浏览器进程内部行为的深度监控，及时发现异常的脚本加载或异常的磁盘写入。
• 安全意识培训不可或缺：钓鱼邮件仍是最常见的入口，针对“邮件中的暗链”进行专项演练，提升员工的警觉性。

---

环境剖析：数据化·智能化·信息化的“三位一体”时代

1. 数据化 —— 大数据与 AI 让资产可视化，也让攻击面扩大

企业正通过 工业互联网平台、云端监控大屏 和 数据湖 将传统的 OT 设备、SCADA 系统、业务系统统一纳入分析视角。虽然这提升了运维效率，却让 PLC、RTU、传感器 等设备的网络边界变得模糊。只要一台设备被不慎连上公网，攻击者就可能利用 机器学习模型 自动生成针对特定控制逻辑的恶意项目文件。

2. 智能化 —— AI 助力自动化，也为对手提供“智能武器”

从 ChatGPT、Gemini 到自研的 漏洞挖掘 AI，攻击者可以快速生成 漏洞利用代码、钓鱼邮件文案、甚至 PLC Ladder Logic 的恶意变体。正如《孙子兵法·谋攻篇》所言：“兵形象水，水因地而制流”。在智能化的浪潮中，攻击手段的 自适应 与 自学习 正逐步成为常态。

3. 信息化 —— 云端协同与远程办公提升效率，也带来 “外部入口”

疫情后，远程桌面、VPN、Zero‑Trust 网络访问（ZTNA）成为企业的标配。虽然 零信任 能在一定程度上降低横向移动的风险，但如果 身份认证 本身被劫持（如通过 MFA 劫持、钓鱼式验证码），整个防线瞬间崩塌。正所谓“道虽迢迢，恨此不相逢”，信息化的每一次便利，都可能是攻击者潜藏的入口。

---

号召：携手共建安全文化，参与即将开启的信息安全意识培训

培训的目标与价值

目标	具体内容	预期收益
提升风险感知	通过案例复盘，让员工亲历“灯塔失明、插件窃密、浏览器暗算”等真实场景	增强对 OT、IT、OT‑IT 融合系统的安全警觉
掌握防护技巧	介绍 最小特权、零信任、补丁管理、日志审计 等关键技术要点	降低因配置错误、口令弱化导致的风险
强化应急响应	演练 钓鱼邮件、OT 设备异常、RAT 检测 的快速处置流程	确保在攻击初期即能进行有效遏制
营造安全文化	推行安全周、红蓝对抗赛、每日一问等互动活动	让安全意识渗透到每一次业务决策中

培训形式与安排

1. 线上微课程（每期 15 分钟）：采用碎片化学习方式，覆盖 OT 安全、浏览器安全、社交工程防护等主题。
2. 现场研讨会（每月一次）：邀请行业专家、CISO 分享最新威胁情报，现场解答员工疑惑。
3. 实战演练（季度）：通过 红队渗透 与 蓝队防御 的对抗赛，让员工在“赛场”中体会攻击与防御的完整闭环。
4. 安全知识竞赛：设置积分榜与奖励制度，激励员工主动学习、互相分享安全经验。

实施步骤

• 第一阶段（第 1‑2 周）：发布培训计划，收集全员邮箱、部门需求，完成培训平台账号分配。
• 第二阶段（第 3‑4 周）：上线微课程，启动首轮安全案例分享（包括本篇文章中提到的三个案例）。
• 第三阶段（第 5‑8 周）：开展现场研讨会，邀请外部专业顾问解析 PLC 漏洞利用链 与 浏览器 R​AT 的技术细节。
• 第四阶段（第 9 周起）：组织实战演练，围绕 OT/IT 融合环境 进行全链路攻防，形成演练报告并纳入后续改进计划。

成功的关键因素

• 高层支持：信息安全是全员责任，必须得到公司高层的明确授权与资源倾斜。
• 跨部门协同：IT、OT、法务、人事必须形成合力，确保安全政策在业务层面得到落地。
• 持续改进：培训不是一次性的活动，而是一个 PDCA（计划‑执行‑检查‑行动） 的循环过程。每一次演练、每一次案例复盘，都应反馈到培训内容中，实现“学而思、思而改”。

结语：让安全成为每个人的“自觉”

古语云：“防患未然，胜于救亡。”在信息化高速发展的今天，安全不再是 “技术团队的事”，而是每一位职工的必修课。只要我们把 “想象危机”“主动防御”“持续学习” 融入到日常工作的每一个细节，就能把潜在的攻击者逼退到网络的暗角，守护企业的水、守护能源、守护数据——乃至守护每一位同事的家与生活。

让我们携手并进，在即将开启的安全意识培训中，用知识填补认知的空白，用行动铸就防线的坚固。从今天起，点亮每一盏监控屏、每一台 PLC、每一位员工的安全之灯，让“黑夜中的灯塔”不再被暗流侵扰！

昆明亭长朗然科技有限公司为企业提供安全意识提升方案，通过创新教学方法帮助员工在轻松愉快的氛围中学习。我们的产品设计注重互动性和趣味性，使信息安全教育更具吸引力。对此类方案感兴趣的客户，请随时与我们联系。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898