美国国家安全局（NSA）、网络安全与基础设施安全局（CISA）、联邦调查局（FBI）、能源部和环境保护局警告称，持续存在针对美国关键基础设施中西门子 S7 系列可编程逻辑控制器的攻击。这些机构在 2026 年 8 月 19 日发布的联合警告中表示，威胁行为者正在使用依靠人工智能开发的脚本来利用这些工业设备。
PLC 是用于自动化机器以及控制工厂和关键设施中物理流程的工业计算机。遭受重点攻击的行业包括生物制造、能源、水和污水系统、化学品、食品和农业以及商业设施。这些机构还指出，西门子 S7 控制器被用于国防工业基地，因此该领域也可能成为攻击目标。
攻击如何实施？
攻击者使用互联网扫描服务（包括 Censys 和 ZoomEye）寻找暴露在外的西门子控制器，随后尝试利用严重和高危漏洞、过时软件或薄弱的身份验证机制。警告称，攻击者开发了使用 Python 编写的利用工具，并使用 snap7.dll 和 python-snap7 库与西门子 S7 设备通信。
这些工具伪装成用于监控运营技术（OT）的合法程序，但能够通过 S7comm 协议提供对控制器内存、配置数据和梯形图（Ladder Logic）程序的读写访问。已披露的活动针对 S7-200、S7-300、S7-400、S7-1200 和 S7-1500 型号。
为什么这一警告很重要？
目前看来，这些活动主要集中于持续侦察和信息收集，但可能为后续破坏行动铺路。这些机构表示，潜在后果包括窃取敏感数据、损坏设备、导致业务长时间中断，或引发影响安全的事故。由于访问控制器内存和程序可能直接影响物理流程，因此保护这些设备并不局限于办公网络安全。
这份警告发布之际，针对暴露在互联网中的 PLC 的攻击正在增加。今年 7 月，黑客攻击了明尼苏达州 30 多个供水设施，导致设备故障，并迫使部分设施暂时转为手动操作。CISA 还警告称，针对供水和污水处理设施所使用 PLC 的攻击正在增加。今年 4 月，美国机构警告称，与伊朗有关联的黑客正在攻击暴露在互联网中的 Rockwell Automation/Allen-Bradley 控制器；多个关键基础设施领域已出现运行中断和经济损失。
运营方应采取什么措施？
- 盘点工业环境中的西门子 S7 控制器，并确定暴露在外的设备。
- 安装可用的最新安全更新。
- 阻止通过互联网直接访问控制器。
- 加强访问控制和身份验证措施。
- 监控针对这些设备或其协议的异常活动。
这些机构并未将警告仅限于西门子产品，而是建议所有 PLC 的所有者和运营方采取适当的缓解措施，以降低设备和工业系统面临的风险。