与电力不同，水资源笨重且运输成本高昂，因此供水网络更加区域化。全美约 90% 的供水机构归地方政府所有，每家机构服务的居民不足 1 万人。这意味着他们几乎没有多余的资金来升级那些陈旧的电脑系统。
水资源是战略上的软肋，军事指挥官对此早就心知肚明。公元 537 年，东哥特人为了瘫痪罗马，就曾摧毁其输水道。近年来，尽管国际法将此类袭击定性为潜在的战争罪行，但水利基础设施依然成为美伊冲突中的重要目标。今年 3 月，唐纳德·特朗普曾威胁要“彻底摧毁”伊朗的淡化水设施。在伊朗干旱的南部省份，这些设施是当地居民的生命线。伊朗声称，格什姆岛上的一处此类设施遭到了轰炸。此外，巴林、科威特和阿拉伯联合酋长国的水厂也曾遭到导弹袭击，外界推测这些导弹来自伊朗。
因此，今年夏天美国本土的水利设施遭到袭击，虽然引人关注，但并不令人感到意外。 7 月 27 日，明尼阿波利斯附近的梅普尔普莱恩宣布进入紧急状态。同一天，佐治亚州的克莱顿县水务局因水压下降导致供水中断，要求其服务的亚特兰大南部 30 万居民将水烧开后饮用。黑客潜入了美国至少 7 个州的自来水和废水处理设施，甚至有报道称受波及的州超过 12 个。其中明尼苏达州受灾最严重，有 30 个社区供水系统受到波及。美国官员的初步评估显示，与伊朗有关联的组织是幕后黑手。
尽管目前的袭击据信尚未造成实质危害，但网络攻击确实可能导致供水中断，甚至污染水质。现在的关键是，政客们能否在黑客下一次大举进攻之前，彻底采取行动来震慑他们。 8 月 13 日，民主党参议员埃米·克洛布彻和亚当·希夫联手提出了《水网络安全盾法案》，旨在赋予美国国家环境保护局更多权力。然而，该法案的前景并不明朗。参议院将于 9 月审议唐纳德·特朗普提出的预算案，而该预算案拟将美国国家环境保护局用于水利网络安全的最大一笔资金削减近 90%。
尽管受到威胁的基础设施不止水利设施一家，但它们尤其容易受到渗透。美国的电网必须符合联邦能源监管委员会监管的网络安全标准，但水利行业却没有类似的要求。此外，与供水机构相比，运营发电厂的电力公司规模更大、资金更充足，监管也更严格。比如加利福尼亚州的太平洋瓦电公司以及活跃于东南部和中西部的杜克能源，这些大型上市公用事业公司为数百万家庭提供电力。
与电力不同，水资源笨重且运输成本高昂，因此供水网络更加区域化。全美约 90% 的供水机构归地方政府所有，每家机构服务的居民不足 1 万人。这意味着他们几乎没有多余的资金来升级那些陈旧的电脑系统。事实上，水利基础设施早已暴露出抵御攻击能力不足的问题。 2013 年，伊朗黑客侵入了纽约一座小型水坝的控制系统，该事件竟被隐瞒了将近三年才曝光；2023 年，黑客又控制了宾夕法尼亚州一家水厂的水泵。
伊朗黑客异常活跃。 8 月 18 日，联邦检察官起诉了 17 名伊朗人，指控他们攻击高校和企业系统以窃取科研成果和知识产权。此外，中国一个名为“伏特台风”的大规模网络行动，也一直在试图潜入美国的关键基础设施，蓄意伺机破坏。
但事实上，即便是技术并不高超的黑客也能轻松得手。 2019 年，堪萨斯州农村地区一名供水区的前雇员，利用其旧账号登录系统，关闭了净水程序。（他声称自己当时喝醉了。如果属实，这恰恰证明了水利系统多么脆弱。）两年后，黑客控制了佛罗里达州奥兹马的一家供水设施，试图通过调高氢氧化钠（下水道清洁剂的主要成分）的含量来毒害当地居民。虽然这一企图最终未能得逞，但他们之所以能轻松侵入系统，是因为一名操作员的电脑上运行着 TeamViewer，这是一款广受欢迎的、用于 IT 技术支持的远程控制软件。
最近发生的几起入侵事件手法都相对简单。黑客攻破了连接电脑网络与物理实体系统的“操作技术”系统。这并不需要什么高超的技术：此类系统通常通过移动网络直接连接到互联网，而且几乎不设防，或者只使用极度简单的弱密码。 7 月 30 日，联邦调查局（FBI）甚至向各大水务公司发出呼吁，恳求他们切断关键系统与互联网的连接，并设置难以破解的密码。
此前，试图对这一零散系统强制实施网络安全标准的努力大多以失败告终。在拜登政府执政期间，美国国家环境保护局曾试图强制各州审查并报告水利系统面临的网络威胁。密苏里州、阿肯色州和爱荷华州的共和党州总检察长，联手美国自来水厂协会和全国农村水协这两大行业组织提起诉讼，指责联邦政府越权。在联邦法院下令暂缓执行该举措后，美国国家环境保护局不得不做出妥协。
即使国会采取了行动，措施也微乎其微且见效极慢。 2022 年通过的《关键基础设施网络安全事件报告法案》，要求关键领域的机构在发生重大网络攻击后 72 小时内进行报告。然而，该法案的细则要到今年 9 月才能最终敲定，前后历时竟超过四年。
不过，现在或许出现了加大力度的契机。本月，热心公益的黑客团体 DEF CON 富兰克林与全国农村水协联手，启动了水监视中心项目，旨在为小型水务机构提供来自民间的网络安全支持。此外，埃米·克洛布彻和亚当·希夫提出的法案，也并非目前唯一在审议中的提案。
8 月 5 日，曾抵制拜登政府提议的美国自来水厂协会（AWWA）表态支持《水风险与韧性机构设立法案》。该法案由阿肯色州共和党众议员里克·克劳福德发起，旨在效仿电力行业的监管模式，在美国国家环境保护局的监督下成立一个独立机构，专门起草水务系统的最低网络安全标准。同一天，共和党参议员汤姆·科顿也致信财政部长斯科特·贝森特，敦促政府修改税法并微调监管政策，以鼓励自来水厂加大安全投入。
华盛顿能否迅速采取行动，很大程度上取决于特朗普。这位总统计划将战争部的预算大幅增加 44%，达到 1.5 万亿美元。这笔资金将用于对伊战争，以及打造一个高科技的“金穹”系统来拦截导弹。相比之下，他对保护美国的水务安全似乎没那么上心。
今年 7 月，特朗普暗示明尼苏达州遭遇的网络攻击该怪该州“腐败”的州长蒂姆·沃尔兹，甚至声称伊朗根本没有发动攻击。他表示：“伊朗自己焦头烂额，哪有心思管明尼苏达州。”自特朗普重返白宫以来，作为联邦网络防御主力军的网络安全和基础设施安全局便陷入动荡，领导层频繁更迭，人员也缩减了三分之一。今年 9 月国会复会后，参议院在审议整体预算提案时，可能会施压特朗普采取更多行动。然而，黑客们恐怕不会耐心等待。
编译自《经济学人》，原文链接：点击阅读。
