公交站牌被当成“肉鸡”，网安上门时发现那台路由器还是出厂密码

原创

tcode
tcode

字节脉搏实验室

2026年10月8日 12:35
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一台站牌背后的路由器，先被异常流量点出来

2026年4月，安徽芜湖的公安网安部门盯上了一个独立通信组网的网络地址：它持续产生异常流量，顺着这条线查下去，出口是一块公交电子站牌。站牌本身只是显示到站信息的屏幕，但它联网、有独立地址，背后挂着一台路由器，问题就出在这台路由器上。出厂默认账号密码从未修改，网页管理端口、远程登录端口和地址转换穿透功能同时开着。

恶意软件几乎没有遇到阻碍就进去了，设备被远程操控，成了攻击者手里的一台肉鸡。属地公安机关依法责令该单位改正。这起案子是9月17日公安部网安局公布的护网2026十起行政执法典型案例中的第二起，通报还专门请了中国社科院法学研究所研究员支振锋做点评。

值得逐字读的是点评里的态度。通报明确，未造成严重后果不等于没有违法，行政处罚并不以实际危害后果为构成要件，后果有无只影响处罚轻重。翻译成运维的语言就是，这台设备有没有被人拿去干坏事，并不改变你本来该做的那些动作。

不合规的判定点，其实写在了条文里

把这件事从法律话术拉回到配置清单，落点非常具体。网络安全法第二十一条要求网络运营者履行安全保护义务，其中第二项是采取防范计算机病毒、网络攻击、网络侵入等危害网络安全行为的技术措施，第三项是采取监测、记录网络运行状态和网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。

对应到芜湖这台路由器，口令还是出厂值，等于没有采取防范侵入的技术措施；几个管理口和穿透功能同时对外开放，等于没有落实安全管理责任。这两条摆在那里，违法事实就已经成立，不需要等到有人报案，也不需要等到有人投诉。

这一层意义比技术细节更值得注意。过去很多单位把没出事当作安全投入的验收标准，这份通报把它改成了过程标准：你有没有改口令、关端口、留日志，本身就可以被检查、被追溯、被处罚。

对把事情外包出去的单位，这份通报还有一个潜台词。运维可以外包，安全保护义务不能外包，责任仍然落在运营者身上。合同里没有约定安全条款、验收时不查安全项，都不构成免责的理由。

它不是一个孤例，规模化收割早就在发生

如果说芜湖案回答的是会不会被罚，国家互联网应急中心的数据回答的是会不会被端。

该中心在2026年2月10日发布的新型僵尸网络风险提示里写明，这个自2025年12月下旬起活跃的僵尸网络，主要针对路由器、摄像头等物联网设备，靠远程登录口令暴力破解扩散；仅2026年1月20日至25日这六天，境内已确认的活跃肉鸡规模就达9827台，日上线肉鸡数量最高4870台，恶意控制端日访问量最高27.8万次。报告还给出一个关键判断：该家族已经具备成熟的流量攻击能力，但尚未观测到大规模攻击，很可能正处在先把设备攒够的扩张期。

更近的一次提醒出现在2026年9月30日。国家互联网应急中心与绿盟科技集团股份有限公司联合监测发现，一个新型僵尸网络家族持续针对服务器及物联网设备开展传播，远程控制被感染的设备发起流量攻击；该家族自2025年末进入监测视野后，一直在更迭版本。

两项通报相隔七个月，指向同一个结论：弱口令设备不是某天会不会轮到我的概率问题，而是已经被规模化扫描、批量尝试的存量问题。

站牌为什么会成为目标

从攻击成本看，这类设备的处境并不难理解：数量大、型号高度同质化、部署完成后基本无人登录、运维外包给第三方，预算里通常没有安全这一项。对攻击者来说，一套弱口令字典就能覆盖大量同型号设备，投入产出比远高于针对单一服务器的定向攻击。

上面那份报告里还有两处细节，可以帮助理解对手的水平。样本只针对两种嵌入式处理器架构编译，说明目标就是嵌入式设备；木马只有在接收到特定启动参数时才会激活核心功能，否则直接退出，这是专门用来规避自动化沙箱分析的。也就是说，能被这类家族收编的设备，往往不是被高级攻击者挑中，而是被自动化流程顺路扫到。

这两个特征放在一起，就是运营方最该担心的场景：设备在机房里安静运行三年，没有任何人登录过它，攻击者却每天在扫它。

但也别把风险说成一刀切。同类型的设备，如果管理口只在内部网络可达、没有做任何端口映射、并且长期没有对外连接记录，被远程收编的概率会低很多。反过来，只要它每天主动向境外地址发起连接，无论型号新旧，都应该先按已被控制来处理。判断的依据不应该是设备贵不贵，而是它现在的连接行为像不像一台有主人的设备。

三个能在今天做完的动作

对运营单位来说，第一件事是补台账，而不是先买设备。把联网的站牌、摄像头、门禁、广告机、传感器逐条登记到资产清单，写清归属部门、厂商、固件版本、管理方式、有没有公网入口。同时把每一台设备的最近一次配置变更、最近一次登录时间记下来，这两列会直接暴露长期无人管理的那一批。没有台账，后面所有动作都会落空。

第二步是处理默认凭证与暴露面。逐台登录管理后台修改出厂口令，口令至少十六位并包含大小写字母、数字和符号，不同设备不要复用；关闭网页管理端口、远程登录和地址转换穿透等非必要功能；确实需要远程运维的，走专用通道并限制来源地址，不要让它直接暴露在互联网上。

第三步是建立能留下证据的记录。开启设备与边界防火墙日志，按不少于六个月留存，重点关注设备对外的远程登录端口连接、面向异常境外地址的短连接，以及管理后台的非工作时段登录。这些记录既是排查线索，也是需要时证明自己尽到了义务的材料。

第四步是回到采购与验收环节。新建或改造设备时，把安全条款写进合同，要求出厂口令强制首次修改、默认关闭高风险远程功能、提供可用的固件更新渠道；验收时把改口令、关端口、留日志做成检查项，由运营方确认而不是由施工方口头承诺。这一条看起来最慢，却决定下一批设备进场时是带着问题进来，还是带着配置进来。采购环节省下的那点钱，通常不够支付一次整改要投入的人力。

判断一台设备是否已经被收编，有一条可以立刻验证的线索：如果它在没有任何业务需求的情况下持续对外发起远程登录或网页请求短连接，且连接对象分散在多个境外地址，那么它更可能已经加入了某个僵尸网络，而不是仅仅被扫描了一下。

这类判断不用专业设备，边界防火墙的会话表就能看出大概；设备只在内部网络里跑时，要看上游出口有没有对应记录。

一个可以直接问出来的诊断问题是，这台设备的管理口令归谁管，上一次改动发生在什么时候。如果两个问题都答不出来，它就应该排在今天处置清单的第一位。

来源

1. 安全客：《一块公交站牌沦为“肉鸡”，公安部这份通报，把物联网安全的老底揭开了》；发布时间：2026-09-21 20:32；时区：北京时间（UTC+8）；URL：https://www.anquanke.com/post/id/316172 ；二手来源，转述公安部网安局2026年9月17日公布的“护网—2026”十起行政执法典型案例第二起，支撑芜湖案的发生时间、设备配置状况、支振锋点评与专项工作数字；原始通报页面本次未通过实时核验。

2. 国家互联网应急中心（CNCERT）：《关于RCtea僵尸网络大范围传播的风险提示》；发布时间：2026-02-10；时区：北京时间（UTC+8）；URL：https://www.cert.org.cn/publish/main/10/2026/20260210174108659132671/20260210174108659132671\_.html ；一手来源，支撑9827台活跃肉鸡、日上线最高4870台、控制端日访问最高27.8万次、Telnet暴力破解、ARM与MIPS目标架构以及DDoS能力判断。

3. 国家互联网应急中心（CNCERT）：《关于新型僵尸网络FlyLegit大范围传播的风险提示》；发布时间：2026-09-30；时区：北京时间（UTC+8）；URL：https://www.cert.org.cn/publish/main/10/2026/20260930172928865590388/20260930172928865590388\_.html ；一手来源，支撑2026年9月30日IoT设备僵尸网络仍在持续传播这一事实锚点。

4. 中央网络安全和信息化委员会办公室：《中华人民共和国网络安全法》全文；发布时间：2016-11-07；时区：北京时间（UTC+8）；URL：https://www.cac.gov.cn/2016-11/07/c\_1119867116.htm 与 https://www.cac.gov.cn/2016-11/07/c\_1119867116\_2.htm ；一手来源（法律条文），支撑第二十一条安全保护义务中技术措施与日志留存不少于六个月的合规判定点。