两起工厂勒索复盘：产线没被碰，照样全停——工厂网络的边界问题要重新想

今年两起典型制造业勒索攻击事件，颠覆了很多工厂固有的安全认知，非常适合制造企业、工业集成商、网络运维团队作为标杆案例入库复盘。很多工厂安全建设重心一直盯着 PLC、机器人等 OT 生产设备，默认只要工控设备不被攻陷，产线就不会停。但这两起攻击清晰证明：攻击者不需要拿下 OT 设备，击穿 IT 与 OT 的边界链路，瘫痪上游业务支撑系统，整条产线一样被迫停机，这已经成为当下工业勒索攻击的主流战术。

一、案例复盘：不入侵工控，一样锁死生产

West Pharmaceutical

一封伪装成工业设备更新通知的钓鱼邮件进来，横向渗透一个多月，5 月初全球 18 国 50 家工厂同时加密， SEC 8-K 文件披露的损失口径在 2.5 到 3.5 亿美元，下游药企停产带来的短缺预警都上了监管层面。

Coca-Cola 旗下 Fairlife

7 月中旬被勒索，美国 4 座工厂停产 72 小时，生产和销售损失约 1750 万美元，确认泄露 671GB。

两起事件攻击者都没碰 PLC。瘫痪 ERP、文件服务器、仓储系统，产线照停——这就是 2026 年制造业勒索的主流打法：不打 OT，打穿 IT-OT 边界就够了。第三方供应商访问涉及六成以上的制造业数据泄露，AI 生成的钓鱼邮件占比已经过半，入口防不胜防。

二、工厂网络安全落地三大核心动作

那工厂网络还能做什么？把"把攻击全挡在外面"这个目标换成"让攻击进来也动不了、动了也能查"——三个动作：

第1，接入实名化。

办公网、访客网、外包施工队的临时网，谁在用、用的什么终端，接入那一刻就绑定到人。员工侧弱口令、不加密、无日志，执法口径里这叫"典型违法状态"，德阳网安的原话。

第2，行为留日志。

出了事要能回答"攻击者从哪个终端进来、横向到了哪台服务器"，没有行为日志，复盘只能靠猜。工厂场景按属地公安要求把上网日志做扎实，同时也是合规底线。

第3，边界收口。

办公网和产线网之间该隔离的隔离，出口上该拦的拦，防火墙、准入、终端管理各司其职。

不少工厂现状是 IT、OT 两套网络分开建设，安全设备零散堆砌：单独买防火墙、单独上审计、单独部署准入，设备多、策略分散，运维人员很难统一管控，策略冲突、权限遗漏时有发生。一旦遇到外包多厂区、多分支接入，边界管理会更加混乱。

智慧光迅以全光为底座、音视频为引擎、安全为护盾，打造 “通密一体”解决方案，面向工厂场景以全光网络为底座，梦想网关M1集成边界防火墙、接入认证、行为审计、日志留存能力，一台设备收口互联网出口，兼顾通信承载、加密防护、实名审计。

在保障生产、办公业务稳定转发的基础上，天然收口边界，对访客、外包、员工接入统一实名管控，日志自动留存可溯源，同时支持 IT/OT 网络安全隔离，适配工厂多安全域的建设需求，不用堆叠多台独立设备，降低运维复杂度。

勒索攻击本质上打的是边界信任漏洞、身份管控漏洞。产线设备固然重要，但 ERP、仓储、业务服务器、第三方接入通道，已经成为现代工厂更高优先级的防护薄弱点。 工厂安全建设，不能再只盯着产线控制器。边界、身份、审计三者闭环，才是抵御这一类新型勒索攻击的关键。

FAQ：

Q1：工厂已经上了防火墙，为什么还会被勒索？

防火墙管边界，管不了进来之后的东西。钓鱼邮件、第三方远程访问、弱口令都绕开边界，接入实名和行为日志补的正是边界之后的盲区。

Q2：备份做了还要演练吗？

要。今年有公开案例里企业有备份、但没对遇到的勒索毒株做过恢复演练，恢复时还要排查后门，停产六周。备份不演练等于没备份。

Q3：上网日志和工控安全是什么关系？

两件事。上网日志管的是人员接入互联网的行为留痕，工控安全管产线控制系统本体，工厂两者都要做，别混在一个方案里互相替代。