美国水务系统袭击范围翻倍至12个州，黑客攻击暴露在外的控制器

12是改变一切的数字。短短五天内，报告称美国水务和污水处理系统遭入侵的州从7个跃升至至少12个，这场行动的规模大致翻了一番，而此前它已迫使小镇改为人工操作 ^{6 9 2 5}。这不是统计上的偶然，也不是重新计数。这是一张不断扩大的地图，标出了饮用水输送系统中的水泵、阀门和化学品投加装置被外部人员侵入的地点。

事件始于明尼苏达州。2026年7月26日至27日，一场协调一致的攻击袭击了该州30多个市政供水系统，迫使运营人员手动运行水厂，并引发联邦与州多个机构联合响应 ^{7 9}。调查人员称，攻击者通过第三方集成商安装的蜂窝调制解调器，访问了罗克韦尔自动化 MicroLogix 可编程逻辑控制器，并更改了 IP 地址和密码 ⁷。现有报道文本在开始描述至少一台控制器内部接下来发生的情况时戛然而止——“至少在一个案例中……”——因此，所提供文件未能证实这一最关键的技术细节 ⁷。

7月31日，在明尼苏达州30多处设施遭入侵后，FBI 和美国环境保护署（EPA）向全国公用事业单位发出警告，称至少7个州的市政系统遭到袭击 ⁹。NBC News 报道称，这一警告是联邦政府首次承认事件规模，并为此后的一切确立了衡量基准 ⁹。对于水务行业而言，联邦政府罕见地就7个州发出警报；该行业由数千个地方运营的系统组成，人员配备和安全预算参差不齐。

五天后，这一基准被打破。8月4日至5日，官员确认，至少12个州的供水和污水处理系统报告遭到入侵，比 FBI 五天前披露的7个州有所增加 ^{6 2}。SecurityWeek 于8月5日报道称，在克莱顿县报告泵站运行中断后，佐治亚州被确认是遭袭州；报道援引 ABC News 的统计称，至少12个州受到影响，但只点名了少数几个州 ⁵。The Record 也报道称，受影响范围扩大到12个州，南达科他州和佐治亚州均宣布发生相关事件 ²。同一时期，亚特兰大都会区的一项煮沸饮用水公告也在接受调查，这提醒人们，即使只是泵站运行中断，也可能迅速演变成涉及居民用水的公共卫生问题 ⁶。

范围扩大后，全国媒体相继跟进。8月6日，CNN 和 CBS News 报道了袭击波及12个州的情况；CBS 报道称，官员警告黑客正在利用“一种特别容易受到攻击的工业计算机” ^{3 4}。这句话很重要，因为它指向的不是罕见的零日漏洞，而是已知且暴露在外的控制硬件。四天后，Dark Reading 报道称，攻击通过“安全防护不足且暴露于互联网的 PLC”波及至少12个州，并将其描述为针对工业控制器的低复杂度攻击 ¹⁰。简单来说：原本用于开关阀门和运行水泵的设备可以从互联网访问，入侵者就这样进入了系统。

是谁指使入侵者进入系统，目前仍未查明，报道文件中的措辞也刻意保留余地。The Record 将这场行动描述为“据称与伊朗黑客有关” ²。Dark Reading 称这些入侵“可能与伊朗政府有关” ¹⁰。Cybersecurity Dive 于8月20日撰文称，这波攻击“疑似由与伊朗有关联的威胁组织所为” ⁸。所提供的来源文本中，没有任何一篇包含美国政府正式将事件归因于伊朗或其他国家的说法 ^{2 10 8}。

怀疑与正式指责之间的差距，是结构性问题，而不只是法律措辞上的谨慎。小型供水公用事业单位往往缺乏取证日志记录和网络监控能力，难以在数千个系统中留存证据，因此在没有更多情报的情况下，很难作出高置信度的归因。由受害者数量来看，这场行动似乎是协调一致的——先是明尼苏达州的一批事件，随后又蔓延至从东海岸到西海岸的多个州——但在公开记录中，责任方仍未确定。各来源的表述并不一致，因为目前还没有一个可以达成共识的单一结论，只有三种不同说法，都表示调查指向与伊朗有关联，但尚未证实这种关联 ^{2 10 8}。

到8月中旬，这种模糊性已成为政策争论的推动因素。The Independent 于8月7日将袭击描述为多年警告后的一记“警钟”，并引用分析人士的说法，称各州毫无准备 ¹¹。Cybersecurity Dive 于8月20日报道称，支持加强监管和增加拨款的声音日益增多，而这波袭击仍仅被描述为疑似与伊朗有关联的行动 ⁸。这一发展顺序本身说明了问题：明尼苏达州先改为人工操作，随后联邦政府发出警告，再后来受影响州的数量翻倍，最后又出现华盛顿熟悉的资金和强制措施之争 ^{7 9 6 8}。

读者还应了解本文没有声称什么。所提供的报道文本并未证实早期报道同期流传的若干耸人听闻的细节。文本中没有提到任何组织以某个名义宣称对此负责，也没有逐字引用 FBI 关于控制器项目文件遭修改、从而影响化学品投加、泵的运行时序或压力调节的说法，更没有关于可查看哪些外国黑客攻击目标的统计数据 ^{2 3 4 5 6 7 8 9 10 11}。明尼苏达州的文件在句中截断前暗示控制器遭到篡改，但完整说法并未显示 ⁷。一个 URL 的路径中提到了新泽西州，但可见的摘要文本并未确认该州的情况 ⁶。这些被截断的文本也没有可供引用和复述的官方声明 ^{2 3 4 5 6 7 8 9 10 11}。