美國五個聯邦機構發出聯合網絡安全警告，指一場針對 Siemens S7 系列可編程邏輯控制器（PLC） 的「活躍網絡威脅」正在進行。PLC 是用於監察及控制實體設備和工業流程的專用電腦，廣泛見於水務、能源、工廠及其他關鍵基礎設施。

警告指出，身份未明的攻擊者正對美國境內的 Siemens PLC 裝置進行偵察及能力開發，並利用 AI 協助製作和改良攻擊程式，目標涉及供水及污水處理、能源、製造、化工、食品及農業，以及商業設施，亦可能牽涉國防工業基地。1

但要留意一點：聯邦機構形容威脅正在發生，卻沒有公開把這次 Siemens 活動歸咎於伊朗。警告本身亦沒有證實，近期地方水務系統出現的干擾就是由這批攻擊者造成。

聯邦警告到底講了甚麼？

今次公告由美國國家安全局（NSA）、網絡安全及基礎設施安全局（CISA）、聯邦調查局（FBI）、能源部及環境保護局共同發出。1

各機構表示，攻擊者正利用互聯網掃描服務，尋找直接暴露於公眾網絡、或與互聯網隔離不足的 Siemens S7 PLC。使用過時軟件、預設密碼或薄弱登入憑證，都可能增加被入侵的風險。1

公告列出的主要行業包括：

• 供水及污水處理
• 關鍵製造
• 能源
• 化工設施
• 食品及農業
• 商業設施
• 可能包括國防工業基地1

現時所描述的活動，似乎主要集中於尋找弱點、了解系統配置，以及建立日後可用於入侵或破壞的工具。即使暫時未有造成明顯停電、停水或停產，這類偵察仍然相當嚴重，因為它可以協助攻擊者揀選目標、掌握環境，為下一步行動作準備。

AI 在當中扮演甚麼角色？

根據公告，攻擊者把 AI 輔助工具與公開技術資料結合，用來編寫及快速改良針對 Siemens S7 系統的漏洞利用程式。聯邦機構關注的重點，不是 Siemens 設備突然出現一個由 AI 產生的新漏洞，而是 AI 可能降低製作實用攻擊工具所需的時間及技術門檻。1

據報，相關程式使用公開的 snap7 程式庫，並刻意模仿合法的工業運算及監察工具。公告指，這些工具可以透過 S7comm 通訊協定讀取或寫入 PLC 記憶體、系統配置及梯形圖邏輯（ladder logic）。1

這種能力之所以重要，是因為 PLC 距離實際運作的機器和工業流程非常近：

• 讀取資料可以讓入侵者了解工場或水務設施的配置，為日後攻擊作準備。
• 寫入資料或修改梯形圖邏輯，則有可能改變設備操作、流程控制、警報或安全功能的運作方式。

不過，公告描述的是攻擊能力的發展及潛在用途，並不等於已證實每一項列出的操作都在每個目標設施發生。

PLC 被入侵，可能造成甚麼後果？

PLC 被成功控制，影響的不一定只是資料外洩。視乎設施設計、網絡分隔、安全架構，以及攻擊者取得的權限，後果可能包括：

• 生產或公共服務中斷
• 改變工業流程設定或設備運作次序
• 干擾關機系統、警報或安全聯鎖裝置
• 令設備在超出設計限制的情況下運作
• 洩露工業流程及操作資料
• 對相連的控制系統造成連鎖影響1

實際風險會因工場設計及防護措施而異。一次網絡掃描或登入失敗，並不代表攻擊者已經控制整個設施；但一部直接暴露在互聯網上的 PLC，會比一般辦公室電腦被入侵，提供更直接的路徑進入工業操作環境。

與近期美國水務系統攻擊有何關係？

今次 Siemens 警告發布前後，美國多個州的地方水務系統接連出現網絡安全事故。明尼蘇達州表示，超過 30 個水務系統遭遇協調式網絡攻擊；FBI 其後指，至少七個州曾報告相關活動，其中部分更令水務運作受損。16

調查人員及網絡安全專家曾懷疑事件與伊朗有關，但公開報道仍把這個說法形容為調查中的研判，而非已完成的正式歸因。16 美國總統特朗普則公開否定伊朗說法，反而在沒有提出證據的情況下，把責任歸咎於明尼蘇達州及其州長。17

兩件事之間目前只能說有背景上的重疊：

1. 兩者都涉及關鍵基礎設施及工業控制環境。
2. 兩者都引起外界對暴露於互聯網、或防護不足的操作技術系統的關注。
3. 美國較早前的聯邦警告，曾明確指出與伊朗有關的攻擊者正針對連接互聯網的 PLC，最初涉及 Rockwell Automation／Allen-Bradley 設備。
4. 後續更新把據報受針對的製造商範圍擴大至 Siemens 及 Schneider Electric。

正因如此，最新 Siemens 公告在涉及伊朗的水務系統疑雲中格外受注目。但現有資料不能證明公告中身份未明的攻擊者，就是造成水務事故的同一批人，也不能證明所有事件都屬於同一場網絡攻擊行動。

為何官方仍未正式指向伊朗？

網絡攻擊歸因不能單靠目標相同，或者使用相似技術便下結論。調查人員通常需要把技術證據、情報及行動模式互相核實，並達到足夠可信的程度，才會公開指名某個國家或組織。

在 Siemens 公告中，發出警告的機構一直以 「身份未明的威脅行動者」 稱呼攻擊者，沒有提及伊朗。1

至於水務系統事故，聯邦及州政府調查人員確實曾研究伊朗可能涉入，但其他公開說法則對此提出質疑；特朗普亦公開否定伊朗是幕後黑手。1617 在官方公布更充分的佐證，或完成最終評估之前，較穩妥的結論是：水務系統曾遭受網絡攻擊，外界懷疑與伊朗有關，而 Siemens S7 面對的是活躍威脅；但兩者尚未被公開證實為同一場行動。

設施營運者現在應該做甚麼？

聯邦機構提出的方向，主要是一些基本但刻不容緩的工業網絡安全措施：

• 盤點所有 Siemens S7 PLC，確認哪些設備暴露於互聯網。
• 把 PLC 及其他操作技術設備移出直接連接公眾互聯網的環境。
• 將控制網絡與辦公室網絡及外部網絡分隔。
• 在不影響安全及運作的前提下，更新控制器軟件及修補程式。
• 更換預設或薄弱密碼，並採用更強的身份驗證控制。
• 監察異常連線、配置變更及梯形圖邏輯修改。
• 妥善保護工程檔案、控制器配置及可重用程式模組。
• 檢查遠端存取工具及監察軟件，避免被冒認或濫用。1

最直接的教訓不是每一部 Siemens 控制器都已經被入侵，而是：互聯網暴露、登入控制薄弱，加上監察不足，足以令一部廣泛使用的工業控制器，變成攻擊者進行偵察、甚至準備日後破壞行動的切入點。

美國五個聯邦機構發出聯合網絡安全警告，指一場針對 Siemens S7 系列可編程邏輯控制器（PLC） 的「活躍網絡威脅」正在進行。PLC 是用於監察及控制實體設備和工業流程的專用電腦，廣泛見於水務、能源、工廠及其他關鍵基礎設施。

警告指出，身份未明的攻擊者正對美國境內的 Siemens PLC 裝置進行偵察及能力開發，並利用 AI 協助製作和改良攻擊程式，目標涉及供水及污水處理、能源、製造、化工、食品及農業，以及商業設施，亦可能牽涉國防工業基地。1

但要留意一點：聯邦機構形容威脅正在發生，卻沒有公開把這次 Siemens 活動歸咎於伊朗。警告本身亦沒有證實，近期地方水務系統出現的干擾就是由這批攻擊者造成。

聯邦警告到底講了甚麼？

今次公告由美國國家安全局（NSA）、網絡安全及基礎設施安全局（CISA）、聯邦調查局（FBI）、能源部及環境保護局共同發出。1

各機構表示，攻擊者正利用互聯網掃描服務，尋找直接暴露於公眾網絡、或與互聯網隔離不足的 Siemens S7 PLC。使用過時軟件、預設密碼或薄弱登入憑證，都可能增加被入侵的風險。1

公告列出的主要行業包括：

• 供水及污水處理
• 關鍵製造
• 能源
• 化工設施
• 食品及農業
• 商業設施
• 可能包括國防工業基地1

現時所描述的活動，似乎主要集中於尋找弱點、了解系統配置，以及建立日後可用於入侵或破壞的工具。即使暫時未有造成明顯停電、停水或停產，這類偵察仍然相當嚴重，因為它可以協助攻擊者揀選目標、掌握環境，為下一步行動作準備。

AI 在當中扮演甚麼角色？

根據公告，攻擊者把 AI 輔助工具與公開技術資料結合，用來編寫及快速改良針對 Siemens S7 系統的漏洞利用程式。聯邦機構關注的重點，不是 Siemens 設備突然出現一個由 AI 產生的新漏洞，而是 AI 可能降低製作實用攻擊工具所需的時間及技術門檻。1

據報，相關程式使用公開的 snap7 程式庫，並刻意模仿合法的工業運算及監察工具。公告指，這些工具可以透過 S7comm 通訊協定讀取或寫入 PLC 記憶體、系統配置及梯形圖邏輯（ladder logic）。1

這種能力之所以重要，是因為 PLC 距離實際運作的機器和工業流程非常近：

• 讀取資料可以讓入侵者了解工場或水務設施的配置，為日後攻擊作準備。
• 寫入資料或修改梯形圖邏輯，則有可能改變設備操作、流程控制、警報或安全功能的運作方式。

不過，公告描述的是攻擊能力的發展及潛在用途，並不等於已證實每一項列出的操作都在每個目標設施發生。

PLC 被入侵，可能造成甚麼後果？

PLC 被成功控制，影響的不一定只是資料外洩。視乎設施設計、網絡分隔、安全架構，以及攻擊者取得的權限，後果可能包括：

• 生產或公共服務中斷
• 改變工業流程設定或設備運作次序
• 干擾關機系統、警報或安全聯鎖裝置
• 令設備在超出設計限制的情況下運作
• 洩露工業流程及操作資料
• 對相連的控制系統造成連鎖影響1

實際風險會因工場設計及防護措施而異。一次網絡掃描或登入失敗，並不代表攻擊者已經控制整個設施；但一部直接暴露在互聯網上的 PLC，會比一般辦公室電腦被入侵，提供更直接的路徑進入工業操作環境。

與近期美國水務系統攻擊有何關係？

今次 Siemens 警告發布前後，美國多個州的地方水務系統接連出現網絡安全事故。明尼蘇達州表示，超過 30 個水務系統遭遇協調式網絡攻擊；FBI 其後指，至少七個州曾報告相關活動，其中部分更令水務運作受損。16

調查人員及網絡安全專家曾懷疑事件與伊朗有關，但公開報道仍把這個說法形容為調查中的研判，而非已完成的正式歸因。16 美國總統特朗普則公開否定伊朗說法，反而在沒有提出證據的情況下，把責任歸咎於明尼蘇達州及其州長。17

兩件事之間目前只能說有背景上的重疊：

1. 兩者都涉及關鍵基礎設施及工業控制環境。
2. 兩者都引起外界對暴露於互聯網、或防護不足的操作技術系統的關注。
3. 美國較早前的聯邦警告，曾明確指出與伊朗有關的攻擊者正針對連接互聯網的 PLC，最初涉及 Rockwell Automation／Allen-Bradley 設備。
4. 後續更新把據報受針對的製造商範圍擴大至 Siemens 及 Schneider Electric。

正因如此，最新 Siemens 公告在涉及伊朗的水務系統疑雲中格外受注目。但現有資料不能證明公告中身份未明的攻擊者，就是造成水務事故的同一批人，也不能證明所有事件都屬於同一場網絡攻擊行動。

為何官方仍未正式指向伊朗？

網絡攻擊歸因不能單靠目標相同，或者使用相似技術便下結論。調查人員通常需要把技術證據、情報及行動模式互相核實，並達到足夠可信的程度，才會公開指名某個國家或組織。

在 Siemens 公告中，發出警告的機構一直以 「身份未明的威脅行動者」 稱呼攻擊者，沒有提及伊朗。1

至於水務系統事故，聯邦及州政府調查人員確實曾研究伊朗可能涉入，但其他公開說法則對此提出質疑；特朗普亦公開否定伊朗是幕後黑手。1617 在官方公布更充分的佐證，或完成最終評估之前，較穩妥的結論是：水務系統曾遭受網絡攻擊，外界懷疑與伊朗有關，而 Siemens S7 面對的是活躍威脅；但兩者尚未被公開證實為同一場行動。

設施營運者現在應該做甚麼？

聯邦機構提出的方向，主要是一些基本但刻不容緩的工業網絡安全措施：

• 盤點所有 Siemens S7 PLC，確認哪些設備暴露於互聯網。
• 把 PLC 及其他操作技術設備移出直接連接公眾互聯網的環境。
• 將控制網絡與辦公室網絡及外部網絡分隔。
• 在不影響安全及運作的前提下，更新控制器軟件及修補程式。
• 更換預設或薄弱密碼，並採用更強的身份驗證控制。
• 監察異常連線、配置變更及梯形圖邏輯修改。
• 妥善保護工程檔案、控制器配置及可重用程式模組。
• 檢查遠端存取工具及監察軟件，避免被冒認或濫用。1

最直接的教訓不是每一部 Siemens 控制器都已經被入侵，而是：互聯網暴露、登入控制薄弱，加上監察不足，足以令一部廣泛使用的工業控制器，變成攻擊者進行偵察、甚至準備日後破壞行動的切入點。