美國警告：AI 輔助攻擊者正鎖定西門子 S7 工業控制器

五個美國聯邦機構近日發布聯合網路安全警告，稱西門子 S7 系列可程式邏輯控制器（PLC）正面臨「活躍中的網路威脅」。這類設備並非一般辦公室電腦，而是用於監控及控制供水、能源、工廠生產與其他實體流程的工業電腦。警告指出，身分未明的行動者正在偵察美國境內的西門子 PLC 設施，並發展日後可能使用的攻擊能力。1

但有一點必須分清：美國機構說的是正在進行的威脅，並沒有公開把這次針對西門子設備的活動歸咎於伊朗；警告也沒有證實這些活動造成近期地方水務系統通報的故障或中斷。

聯邦警告說了什麼？

發布警告的機構包括美國國家安全局（NSA）、網路安全與基礎設施安全局（CISA）、聯邦調查局（FBI）、能源部（DOE）及環境保護署（EPA）。它們表示，攻擊者利用網路掃描服務，尋找直接暴露於網際網路，或未與網際網路充分分隔的西門子 S7 PLC。過時的軟體、弱密碼及預設帳號密碼，都可能提高遭入侵風險。1

警告點名的領域包括：

• 供水與污水處理
• 關鍵製造業
• 能源
• 化學設施
• 食品與農業
• 商業設施
• 可能涉及國防工業基地1

目前描述的活動，重點似乎在於找出脆弱系統、了解其配置方式，並建立可支援後續入侵或干擾的工具。即使尚未造成明顯停擺，這類偵察仍然嚴重，因為蒐集到的設備與網路資訊，可能讓攻擊者更容易挑選目標並準備行動。

AI 在其中扮演什麼角色？

根據聯邦警告，相關行動者把 AI 協助與公開技術資料結合，用來生成及改良針對西門子 S7 系統的漏洞利用腳本。官方關注的並不是 AI 在西門子設備中創造了全新的漏洞，而是 AI 可能縮短把公開資訊轉化為可用攻擊工具所需的時間，也降低所需的專業門檻。1

據報，這些腳本使用公開的 snap7 函式庫，並被設計成看似合法的工業營運技術監控工具。警告指出，相關工具可透過 S7comm 通訊協定與 PLC 的記憶體、設定及梯形圖邏輯互動。1

這種能力之所以重要，是因為 PLC 位於數位系統與實體流程的交界。讀取資料可以協助入侵者繪製設施運作圖，為後續攻擊做準備；若取得寫入權限，則可能改動資料、控制設定或梯形圖邏輯，進而影響設備順序、程序控制、警報或安全功能。1

不過，警告描述的是能力發展與潛在風險，並不等於已證明每一項所列行動都在每個目標設施發生。

PLC 遭入侵可能造成什麼後果？

工業控制器被攻破，影響可能不只限於資料外洩。視乎設施設計、網路分隔方式及攻擊者取得的權限，操控 PLC 可能導致：

• 生產或公共服務中斷
• 改變製程參數或設備運轉順序
• 干擾關機系統、警報或安全聯鎖
• 令設備在超出設計範圍的狀態下運作
• 洩露設施的營運資料
• 對相連控制系統造成連鎖影響1

實際風險會因工廠架構、網路分段、安全系統設計及取得的存取層級而異。一次掃描或登入失敗，不等於攻擊者已控制整座設施；但暴露於網際網路的控制器，確實可能讓攻擊者更直接接觸營運環境，而不只是一般辦公室資訊系統。

與近期美國水務系統攻擊有何關係？

這次西門子警告發布前，美國多州地方水務系統已發生網路安全事件。明尼蘇達州表示，超過 30 個水務系統遭遇協調式網路攻擊；FBI 其後說，至少 7 個州通報相關活動，其中部分事件削弱了水務營運。16

調查人員及網路安全專家曾懷疑事件與伊朗有關，但目前公開報道仍把這項關聯描述為調查中的研判，而非正式、最終的公開歸因。16美國總統 Donald Trump 則在公開場合否定伊朗說，轉而指責明尼蘇達州及其州長，但沒有提出支持該說法的證據。17

兩者之間目前較準確的關係，是背景上的重疊，而不是已證實的同一場行動：

1. 兩類活動都涉及關鍵基礎設施及工業控制環境。
2. 兩者都凸顯暴露於網際網路、或保護不足的營運技術設備所帶來的風險。
3. 美國較早發布的聯邦警告，曾明確指稱與伊朗有關聯的行動者鎖定連網 PLC，最初涉及 Rockwell Automation／Allen-Bradley 設備。
4. 後續更新把相關製造商範圍擴大至 Siemens 及 Schneider Electric。

這段背景解釋了為何最新的西門子警告會在疑似涉伊朗的水務事件脈絡下受到關注。然而，這並不能證明西門子警告中的身分未明行動者，與水務事件幕後的攻擊者相同，也不能證明所有事件都屬於同一個網路攻擊行動。

為何官方仍未正式指向伊朗？

網路攻擊歸因不能只靠目標相同或技術手法相似。調查人員通常需要把技術資料、情報及行動模式相互印證，累積足夠證據後，才會公開指向某個國家或組織。在西門子警告中，發布機構使用的是「身分未明的威脅行動者」一詞，沒有點名伊朗。1

水務事件的公開資料同樣反映出不確定性。聯邦及州級調查人員曾研究伊朗關聯的可能性，但也有公開說法對這項判斷提出質疑。1617在官方公布更具力的佐證，或完成最終評估之前，較負責任的結論只能是：美國水務系統確實遭到攻擊，外界曾懷疑與伊朗有關；西門子 S7 面臨活躍威脅；但兩者尚未被公開證據 conclusively（ conclusively ）證明存在直接關聯。

設施營運商現在應採取什麼措施？

聯邦機構的建議指向一些看似基本、但刻不容緩的工業資安措施。營運商應：

• 清查所有西門子 S7 PLC，確認哪些設備可從網際網路直接接觸。
• 移除 PLC 及其他營運技術設備的直接公網連線。
• 將控制網路與企業網路及外部網路分隔。
• 在不影響安全運作的前提下，更新控制器軟體及修補程式。
• 更換預設或弱密碼，採用更強的身分驗證控制。
• 監測異常連線、設定變更及梯形圖邏輯修改。
• 保護工程專案檔案、控制器設定及可重複使用的程式模組。
• 檢視遠端存取工具及監控軟體是否可能被冒用或濫用。1

眼前的重點不是每一部西門子控制器都已遭入侵，而是：若工業設備直接暴露在網路上、存取控制薄弱，又缺乏持續監測，廣泛部署的 PLC 就可能成為攻擊者進行偵察、建立能力，甚至準備日後干擾行動的切入口。