默沙东与 NotPetya 攻击：为什么一场冲着别国去的攻击，会让美国药企的疫苗产线停下来？

# 商業復盤備忘錄：默沙东与 NotPetya 攻击

> 为什么一场冲着别国去的攻击，会让美国药企的疫苗产线停下来？
> 週期: 2017 - 2023 | 行業: 醫療與健康
> 巔峰: 全球领先的制药企业，产品覆盖疫苗、处方药与动物保健，多个品种在全球市场处于主导地位，年营收数百亿美元
> 終局: 因供应链软件被植入恶意代码而遭受大规模网络攻击，生产与发货系统中断，多个疫苗品种产能受严重影响，损失被估算在数亿美元量级

## 核心概覽
现代生产的连续性挂在一串第三方软件上，而其中任何一个都可能成为入口。巅峰期全球领先的制药企业，产品覆盖疫苗、处方药与动物保健，多个品种在全球市场处于主导地位，年营收数百亿美元；终局是因供应链软件被植入恶意代码而遭受大规模网络攻击，生产与发货系统中断，多个疫苗品种产能受严重影响，损失被估算在数亿美元量级。

## 社區公投頭號死因
1. [產品技術] 生产网络依赖第三方软件的更新通道 (1,109 票)
2. [產品技術] 生产与办公网络缺少足够的隔离 (932 票)
3. [組織管理] 关键产能缺少可离线运行的备份方案 (754 票)

## 可執行教訓
### 生产的连续性要按「上游软件被污染」来设计
> 入口不一定在你自己的系统里。

- ✅ 推薦做 (DOs):
  - 把生产网络与办公网络做严格隔离
  - 为关键产能准备可离线运行的手工或备用流程
- ❌ 絕不能做 (DON'Ts):
  - 不要把供应链软件更新视为可信通道
  - 不要假设攻击的目标一定是你

## 救亡方案
### 先隔离生产网络并恢复关键产能，再重建供应链安全 — 良略编辑部
干預時點: 2017 年 6 月攻击爆发、多个工厂系统不可用时
- 必須斷腕:
  - 立即切断生产网络与办公网络的连接
  - 停止使用未经验证的上游软件更新
  - 停止在未完成隔离前恢复跨网段通信
- 破局動作:
  - 按工厂优先级逐批恢复生产并补足库存
  - 为关键产线准备可离线运行的手工与备用流程
  - 把上游软件更新纳入受控验证流程
- 預期結果: 攻击的影响被限制在办公网络，生产与发货基本不受影响，公司避免数亿美元的收入损失与长期保险纠纷。

## 社區見解
### 这次攻击的目标不是你，但你的生产网络和别人的办公网络连在一起。 — 良略编辑部 (工程师)
恶意代码的传播入口是供应链上的第三方软件更新通道，与企业自身的安全水平无关。真正决定损失规模的是内部结构：生产与质控系统同办公网络之间缺少严格隔离，于是攻击从办公侧迅速蔓延到工厂侧；而关键产线没有可离线运行的手工流程，系统一停，产能就归零。恢复的前提是先重建网络，再恢复数据，最后才轮到生产。
- 如果重來一次的糾偏招式 现代生产的安全边界，画在自己网络之外。

---
來源: 良略 · https://www.lianglue.com/c/merck-notpetya