黑客远程操控冰柜，暴露了工业网络安全的致命盲区

原创

Sabine
Sabine

信息安全D1net

2026年10月21日 17:11
北京

去阅读

点击上方“蓝色字体”，选择 “设为星标”

关键讯息，D1时间送达！

企业网D1net

法国数百家超市的冷柜遭黑客远程操控，除霜功能竟成攻击工具，数千万欧元损失一夜之间浮现，然而，同样的攻击，有的门店损失惨重，有的却成功保住库存。真正拉开差距的，不只是技术防护，更是谁能远程登录、异常能否及时告警，以及现场能否迅速响应。本文揭示了三个关键教训：管住承包商的远程访问、监控异常控制命令、为淘汰老旧设备制定预算。真正危险的漏洞，不一定在设备里，也可能藏在无人掌控的访问权限与迟缓的响应链条中。

黑客远程操控了法国数百家超市的冷柜，使其进入除霜模式。真正值得吸取的教训是：必须弄清楚谁有权登录制冷控制器，以及发生异常时，有人能够多快采取行动。

10月11日夜间，有人通过远程操作，将法国数百家超市的冷藏展示柜切换到了除霜模式。据Les Mousquetaires透露，Intermarché和Netto的门店中，冰箱和冷柜的温度升至约50°C，并持续了约6个小时，该集团预计损失将达到数千万欧元。到了第二天早上，员工只能把肉类、冷冻食品和蔬菜一箱箱地扔进大型垃圾箱。

Coopérative U统计称，在其约2000家门店中，有80家受到影响，其首席执行官Dominique Schelcher在接受RTL采访时表示，大多数门店的冷链并未失守。只有少数门店反应过慢，导致库存损失，他将这一差异归功于门店员工和制冷设备承包商的表现。Intermarché则表示，受影响的门店不得不将所有相关商品全部丢弃。10月12日至13日夜间，攻击再次发生，这一次，使用Dixell控制器的门店也受到了波及。

相似的控制器，相似的夜晚，却迎来了截然不同的清晨，这种差异，才是运营人员真正能够采取行动、加以改变的关键所在。

记者此前已经报道了哪些系统遭到攻击，以及CERT-FR要求运营人员采取哪些措施。目前还没有人宣称对此次攻击负责，也没有出现勒索要求。据Reuters报道，这让调查人员感到困惑：攻击者究竟只是想让食品变质、并不打算索要钱财，还是尚未透露自己的真正目的?

CERT-FR和Danfoss都没有说明攻击者究竟通过什么途径入侵，暴露在互联网上的管理接口、已知漏洞，以及被窃取的承包商账户凭据，目前都仍然是可能的入侵途径。

但接下来要讨论的三个教训，并不取决于最终查明的是哪一种入侵方式。

你的制冷设备承包商，就是你的安全边界

Schelcher有一句话值得我们给予比那些温度数据更多的关注：Coopérative U的门店并不直接向Danfoss购买设备，而是向制冷设备承包商采购。承包商负责提供控制器、进行配置，并保留远程访问权限，以便无需亲自开车前往门店，就能调整设定值。

E.Leclerc向AFP表示，此次攻击是通过其一家制冷设备供应商波及旗下门店的。

控制器内置的Web服务器，正是为这种远程管理需求而设计的;而承包商所作出的性能保证，通常也依赖于控制器提供的数据流。

Danfoss对此并非第一次遇到。

该公司在2025年10月发布的技术通讯中记录了2022年针对AK-SM 800控制器的攻击事件：俄罗斯有16家超市、以色列有40家门店受到影响。通讯特别指出，以色列的40个站点都没有得到适当的防火墙或VPN保护。

四年过去了，这款自2021年5月起就已停止生命周期支持的旧型号，仍然出现在法国的互联网上。

这种模式在工业现场并不陌生：决定控制器是否暴露在互联网上的人，并不是设备暴露后真正承担损失的人。

承包商希望使用浏览器和公网IP地址，因为这样一来，原本需要在周日深夜亲自赶赴现场的维修工作，就能变成只需两分钟的远程操作。而承担库存损失的，却是超市。

标准的维护合同很少会把这种风险与利益之间的权衡清楚地呈现给签字的人。

这种依赖关系究竟有多深，从CERT-FR的一项建议中就能看出来，我此前还没有在国家级安全通报中见过类似的表述。

CERT-FR于10月16日更新的警报要求运营人员：在切断通往制冷设备承包商的互联网连接之前，先检查保险合同的条款。

原因在于，数据流是合同约定的一部分。根据具体协议，切断连接可能影响监控义务，甚至违反保险条款。

而保险方面的情况本身也不乐观，Reuters援引保险经纪人和承保人的说法指出，网络保险通常不承保实物损失，因此，因食品变质造成的库存损失很可能无法获得赔偿。Intermarché也向AFP表示，其保险不承保此次事件。

那么，首先应该问自己一个问题：

今天，究竟有哪些人能够登录你的制冷控制器？他们是通过什么路径登录的？

是通过门店内部网络？承包商的VPN？承包商多年前安装的一台蜂窝网络路由器？还是门店路由器上配置的端口转发？

如果你必须打电话询问承包商，才能回答这些问题，那么你实际上并没有掌控这道安全边界。

你只是在租用它。

真正需要吸取的教训，不只是一条防火墙规则，而是一项明确的合同条款。

维护协议应该明确规定：

• 列出所有能够远程访问设备的路径，并禁止使用除此之外的任何访问路径。

• 要求所有远程访问必须通过你方控制的网关或VPN进行，且每个账户都必须绑定到具名的技术人员。

• 向你提供访问日志。

• 要求承包商在控制器停止获得厂商支持，或相关漏洞被公开时，及时通知你。

• 允许你随时撤销远程访问权限，而不会因此失去维持冷链所必需的服务。

冷藏展示柜的控制器往往要运行几十年，但为这些设备提供维护服务的合同，却很少写明上述要求。

法国这次事件之后，这种情况应该改变了。

除霜本身是一项正常功能，真正应该监控的是触发这项功能的命令

无论攻击者通过什么途径进入系统，真正造成损失的，是制冷设备本身的常规功能。

除霜是每一台制冷控制器都具备的内置周期功能，据报道，在第二轮攻击中，攻击者还将温度设定值调到了冷藏展示柜根本不可能达到的数值。

许多控制器还提供一项设置：在除霜期间，以及除霜结束后的一段延迟时间内，抑制温度报警，这样做是为了避免设备执行预定的除霜周期时，在凌晨3点向值班人员发送警报。

这是一种合理的配置。

但它也恰恰可能让人为强制触发的除霜过程悄无声息地进行。

目前尚未证实，这项设置是否在法国事件中发挥了作用。Coopérative U的经历则表明，其大多数门店确实收到了报警信息。

这里的机制，与7月发生在美国明尼苏达州的供水系统攻击事件相同：攻击者利用了系统原本设计好的正常功能，只不过是在错误的时间，由不该操作的人来执行。

温度报警是一种过程控制信号，它能够告诉你，商品正在升温；但它无法告诉你，导致温度升高的那条命令，是否来自一个本不应该登录系统的人。

真正值得设置报警的信号，是维护时间窗口之外出现的非预期运行模式变化或设定值变化。

如果多个制冷回路同时发生变化，或者多家由同一家承包商维护的门店在同一个小时内出现相同变化，就更应该提高警报级别。

CERT-FR更新后的警报已经明确要求运营人员专门检查除霜计划，这种思路是正确的：应该检查设备配置，而不仅仅是盯着温度计。

并非所有控制器都能导出这类事件日志，尤其是此次遭到攻击的那些旧型号。

如果控制器无法提供相关事件记录，那么可以部署独立的温度记录仪，它不依赖控制器本身，因此能够更早发现异常造成的后果。

无论采用哪种方式，都必须有人接收警报、理解警报的含义，并且有权采取行动。

凌晨3点，这条响应链可能涉及门店员工、外部技术人员，以及中央运营值班台。如果没有人事先明确写下谁应该联系谁，那么宝贵的时间就会浪费在确认联络对象上。

在第二轮攻击期间，Gironde地区的一名制冷技术人员告诉Le Monde，他的团队及时赶到了波尔多附近的一家门店，因此没有任何商品需要被丢弃。

相比之下，Schelcher所说的那些损失库存的少数门店，是因为没有及时作出响应。

显然，区分这两类门店的一个关键因素是：

从首次出现可采取行动的预警，到实际介入处理，中间究竟经过了多长时间。

具体来说，应该采取以下措施：

• 对任何未经技术人员事先报备的远程设定值变更或运行模式变更发出警报，并根据发生时间以及同时发生变化的制冷回路数量调整警报级别。

• 在控制器本身支持的情况下，由控制器直接发出警报;在控制器不支持的情况下，则通过承包商的监控平台发出警报，因为承包商是唯一能够同时看到其所维护全部门店运行情况的一方。

• 配备独立的温度记录仪，不与控制器共用同一网络，作为第二套独立的监测手段。

• 为凌晨3点的紧急情况制定书面的联络链条，写明具体人员的姓名，而不只是岗位名称。

• 定期进行演练：让承包商在夜间修改一个测试制冷回路的设定值，然后测量需要多少分钟，才会有一名具备处置权限的人发现问题并将设定值恢复。

最后这个数字，才是应该向董事会汇报的关键指标。

不再受支持的控制器，是一项预算问题，而不是一张补丁工单

Claroty旗下的Team82于8月公布了当前型号AK-SM 800A的三个漏洞，这些漏洞均已在4.3.1或更早版本的固件中得到修复。Team82还统计发现，有2765个该型号的管理接口可以从互联网上访问。

目前没有证据表明，这些漏洞与此次攻击存在关联。

Danfoss表示，受影响设备大多是较旧的AK-SM 800和AK-SC 355型号，另有少量AK-SM 800A设备运行着过时的固件。

对于那些旧型号，已经没有补丁可以安装。

Danfoss于2021年5月停止为AK-SM 800提供更新，并于2016年停止为AK-SC 355提供更新。

因此，CERT-FR并没有把安装补丁作为首要措施。它要求运营人员采取以下行动：

• 将所有AK-SM、AK-SC和XWEB控制器从公共互联网中移除。

• 只有通过VPN或受保护的网络，才能恢复对这些设备的访问。

• 对已经遭到入侵的Danfoss设备，先进行重启;如果重启无法解决问题，则恢复出厂设置，并重新配置设备，之后才能让设备重新投入运行。

警报还特别补充了一项警告，读起来几乎像是对未来的预言：仅仅恢复出厂设置，虽然能够清除攻击者留下的持久化机制，却无法消除设备本身的漏洞;而且，这一轮攻击活动很可能仍在持续。

这与我此前在CISA要求运营人员加固Siemens S7系列PLC时所主张的处理顺序一致：

首先消除暴露风险，其次更新固件，最后更换设备。

在实际操作中，这意味着：

本周结束之前，建立一份完整清单，记录每一台制冷控制器的型号、固件版本，以及厂商支持状态。

对于管理接口暴露在公网IP地址上的设备，应当在发现问题的当天就将其从公共互联网中移除。

对于厂商仍然提供支持的设备，应安装当前可用的固件。

对于厂商已经停止支持的设备，则必须明确写下更换日期，列出相应预算，并指定一名负责推动这项工作的人员。

一台老旧的控制器可能仍然能够完美地完成工作，而更换设备不仅需要资金，还需要工程人员投入时间，并且可能导致停机，因此，如果没有明确的责任人，这项决策就很容易一拖再拖。

安全团队可以记录风险、提供评估，但必须由业务部门的相关负责人决定接受风险，或者为更换设备提供资金。

而在看过Reuters对保险问题的报道之后，这位负责人还应该清楚地知道：接受这项风险，也就意味着接受库存可能遭受的损失。

最终，决定损失大小的，是你能否及时采取行动

这又把我们带回了那两类门店。

目前没有人证明，固件版本或硬件型号能够解释为什么有些门店保住了库存，而另一些门店却损失惨重。

有据可查的是：在冷链失守之前，有人及时收到了警报，并且具备采取行动的能力。

这是一种可以通过运营机制建立起来的能力，而且完全可以在攻击者替你进行测试之前，就先行验证。

Sekoia向Reuters透露，西班牙、葡萄牙、波兰、德国和比利时也出现了类似事件，同一系列的控制器还被用于仓库冷藏设施和药品配送环节，而这些设备同样由类似的承包商负责维护。

因此，在本周结束之前，请先做两件事。

第一，使用Shodan或Censys搜索你自己的制冷设备管理接口，看看它们是否暴露在互联网上，因为已经有人在替你搜索了。

第二，打电话给你的制冷设备承包商，只问一个问题：

“当你们登录我们的站点时，究竟是通过什么途径进入系统的?”

如果对方的回答是：一个公网IP地址，加上一组密码，中间没有任何其他防护措施——那么，你已经找到了自己潜在的安全事件。

它只不过还没有真正发生而已。

版权声明：本文为企业网D1net编译，转载需在文章开头注明出处为：企业网D1net，如果不注明出处，企业网D1net将保留追究其法律责任的权利。封面图片来源于摄图网

（来源：企业网D1net）

关于企业网D1net(www.d1net.com)

企业网(D1net.com)-企业 IT 第 1 门户。面向 IT 行业高端甲方人群(CIO 首席信息官)最精准专业的媒体，面向约六万政企  CIO、信息中心主任、科技部总经理等 IT 主管，提供资讯、营销、活动、项目合作推介等服务。拥有专业注册会员(IT 从业者)约  188万人，主要读者为政企用户及其信息主管、软硬件厂商等，服务过的企业级厂商逾五百家，国内toB的头部IT厂商基本都是D1net的客户。

同时，企业网D1net也运营着国内最大的CIO(首席信息官)专家智库和智力输出变现及社交平台-信众智，也是国内最大的科技高管社交平台。旗下运营19个IT行业公众号(微信搜索D1net即可关注)。

如果您在企业IT、网络、通信行业的某一领域工作，并希望分享观点，欢迎给企业网D1net投稿。

投稿邮箱：

[email protected]

合作电话：

010-58221588（北京公司）

021-51701588（上海公司）

合作邮箱：

[email protected]

企业网D1net旗下信众智是CIO（首席信息官）的专家库和智力输出及资源分享平台，有六万多CIO专家，也是目前较大的CIO社交平台。

信众智对接CIO为CIO服务，提供数字化升级转型方面的咨询、培训、需求对接等落地实战的服务。也是国内较早的toB共享经济平台。同时提供猎头，选型点评，IT部门业绩宣传等服务。

扫描 “二维码” 可以查看更多详情