黑客远程操控冷柜，一夜升温至 50℃，法国数百家商超生鲜全毁

文 | 陆知

编辑 | 西西

冷柜变烤箱：法国数百家超市被“烤”了一夜，这事儿没那么简单

2026年10月的法国，出了一件让所有人后背发凉的事。

不是恐怖袭击，不是大罢工，是超市里的冷柜。那些本该冻着牛肉、海鲜、冰淇淋的铁柜子，在一个晚上被人远程调成了50度。对，你没看错，零下18度直接干到正50度，冻柜秒变烤箱。

第二天早上店员一开门，扑面而来的不是冷气，是热浪加腐臭味。冷冻肉的血水混着融化的冰淇淋流了一地，有些电路扛不住高温直接冒烟起火。光阿尔萨斯地区两家超市，损失就砸了27万欧元。

这哪是黑客攻击，这是给法国人的菜篮子来了一次精准爆破。

“没有索要赎金，没有偷数据，目标就是让你把东西全扔了”

事情发生在10月11日夜间到12日凌晨。黑客盯上的不是银行系统，也不是政府网站，而是法国各大超市的制冷控制系统。根据法国方面公布的信息，受影响的超市接近400家，欧尚、家乐福、Intermarché、Coopérative U这些零售巨头一个没跑掉。

Intermarche所属的Les Mousquetaires集团说，大约150家门店的冷柜被加热到50摄氏度，持续了整整6个小时。家乐福确认80家超市中招，Monoprix有5%的门店受影响。央视的报道直接点明了攻击手法：黑客远程启动了制冷设备的强制除霜功能，把温度设定在50度，让设备连续加热。

我反复看了几遍细节，最让人不舒服的地方在于：这帮人根本没打算要钱。不勒索，不偷数据，不搞什么加密锁文件。他们的目的就一个——让你的东西全烂掉。

巴黎一家Intermarche的店员描述当时的场景说，打开冷柜门“就像打开烤箱一样”。有个店长直接在社交媒体上跟顾客道歉，说今天别来买生鲜了，全得扔垃圾桶。

漏洞藏在一个你从没听过的丹麦公司里

随着调查推进，问题的源头浮出水面了。

法国国家信息系统安全局在丹麦丹佛斯公司提供的制冷管理软件里发现了一个漏洞。涉事的设备型号是AK-SM 800和AK-SC 355系列，这是丹佛斯生产的远程制冷控制器，欧洲大量超市都在用。

丹佛斯方面的回应很有意思。他们说这些受影响的设备大部分是“老旧产品”，已经不再接收软件和安全更新了。公司还强调，他们“长期建议客户更新固件，把老系统迁移到新一代方案上”。

翻译一下就是：东西是我们造的，但你们自己没升级，怪不得我。

不过法国的网络安全应急机构CERT-FR发的警报没这么客气。他们直接说，这些设备被暴露在公网上的做法本身就违反了基本的安全规范。CERT-FR的公告写得明明白白：断开或过滤对AK-SM和AK-SC的访问，立即执行。

问题出在哪儿？这些工业控制设备本来是应该待在物理隔离的内网里的，但为了省事、省钱，很多超市直接把它们挂到了公网上。更离谱的是，后台管理密码大量沿用出厂默认的弱口令。这就好比你家防盗门装的是密码锁，但密码是“123456”，而且全世界都知道。

工业网络安全公司Claroty的专家阿米尔·普雷明格说了一句大实话：工业控制系统通常被认为运行在安全隔离的网络上，但实际上“很多设备直接暴露在公共互联网上”。

这事儿不止法国，整个欧洲都在裸奔

法国的损失已经够大了，但真正让人头皮发麻的是后续排查。

欧洲网络安全公司Sekoia的分析师费利克斯·埃梅指出，西班牙、葡萄牙、波兰、德国和比利时也受到了影响。换句话说，同样的设备、同样的漏洞、同样的暴露方式，法国只是第一个被大规模“烤”的。

法国总理勒科尔尼的办公室已经确认，政府正在和欧洲其他国家协调，因为“其他国家也可能受到影响”。巴黎检察官办公室以针对国家关键民生基础设施的网络破坏罪名立案，交给了反网络犯罪办公室侦办。

荷兰的情况也值得看一眼。零售巨头Ahold Delhaize在事件发生后主动断开了部分系统，说是在处理一个“安全问题”。这家公司旗下有荷兰最大的连锁超市Albert Heijn，在美国也有大量业务。虽然他们说不认为和法国的事有关联，但时间点卡得太紧了。

还有更刺激的。法国媒体Sud Radio报道说，10月12日到13日的夜间，攻击还在继续。这次被盯上的是另一种制冷系统，冷冻柜被设定到了150摄氏度，正常应该是零下22度。

150度。这不是调温了，这是要烧厨房。

我的判断：这件事的真正可怕之处不在冷柜本身

说实话，如果只把它当成一起“法国超市倒霉”的新闻来看，那就太小看它了。

我更关注的是这种攻击的门槛有多低，以及它可能被复制到什么领域。你想想，制冷控制器暴露在公网上、默认弱口令、缺乏安全更新，这三个条件加在一起，几乎等于把门钥匙插在锁上还贴了张纸条说“随便进”。

有网络安全研究机构的数据显示，73%的组织至少有一个已知的被利用漏洞存在于其楼宇系统中，91%的系统在使用不安全协议通信。这些数字放在平时就是个报告里的统计，但法国超市这件事证明，它们不是纸面风险，是真能出事的。

从目前公开信息看，这次攻击可能来自某个勒索软件组织的“预热”，也可能是某个黑客团伙在测试能力边界。没有人宣布负责，动机也不明确。但有一点是清楚的：当一个国家的食品供应链可以被几个键盘操作搞到部分瘫痪，这个系统的脆弱程度已经超出了正常商业风险的范围。

法国总统马克龙上个月刚下令加强关键基础设施保护，应对所谓的“俄罗斯混合攻击”。虽然官方没有把这次超市攻击和任何国家或组织挂钩，但这个时间点本身就值得琢磨。

中国的超市能不能扛住这一下？

写到这里，我脑子里冒出来的第一个问题就是：如果这事发生在我们这儿呢？

中国的大型商超这些年数字化程度一点不比欧洲低。冷链物流、智能温控、远程运维，该上的都上了。但有一个问题必须问清楚：这些联网的工业控制设备，有多少是真正做了网络隔离的？有多少还在用默认密码？有多少的固件停留在三年前？

我不是说我们一定会出事，但法国这巴掌扇得够响。人家用真实损失换来的教训，我们不花学费就能学到，没理由装看不见。

工业控制系统安全这件事，过去更多被当成“工厂的事”“电力系统的事”，和老百姓的日常生活隔着好几层。法国超市这一夜证明，它和每个人的菜篮子之间，只隔了一个没改的密码。

CERT-FR的警报公告里有一句话我印象很深：简单的恢复出厂设置不够，因为“被入侵实例的持久化机制会被清除，但设备仍然脆弱，很可能会再次被入侵”。这话翻译成大白话就是：不换锁芯，光擦门把手没用。

法国这起事件最终会怎么收场，目前还没有定论。调查在继续，攻击者身份不明，欧洲各国的自查也在进行中。但有一件事已经确定了：在数字化时代，战争与和平之间那条线，比我们以为的要细得多。有时候，它细到只是一台冷柜的温控器。