一行代码，让冰柜变火炉：法国超市最荒诞的一夜，给全球敲响警钟

来源：市场资讯

（来源：战情哨所）

　　近日夜里，法国数百家超市像往常一样关门落锁，店员陆续回家，店里的灯一盏盏熄灭。没人会想到，就在这几个小时里，那些本该维持在零下十几度的冰柜和冷库，正在黑暗中悄悄升温，一直升到50摄氏度。

　　第二天一早，店员推开店门，鱼虾化了，鲜肉臭了，速冻食品软成一团，整柜整柜的生鲜变质报废，部分门店甚至起了火。家乐福80家门店中招，安特马尔谢所属集团大约150家门店的冰柜，在50摄氏度上烤了整整6个小时，经营约490家门店的莫诺普里公司，百分之五的店面受到波及。一夜之间，几百万欧元打了水漂。

　　让冰柜变成火炉的，不是电路故障，不是员工误操作，而是黑客在远程敲下的几道指令。

　　事情是怎么做到的?说破了，一点都不玄乎。

　　这些超市用的，大多是丹麦丹福斯公司生产的制冷控制系统。冷柜有个天然需求，每隔一段时间就得除霜，不然蒸发器上结满冰，制冷效果就废了。所以现代冷柜都自带自动除霜功能，到点启动加热丝把霜化掉，再恢复制冷。为了方便总部统一管理，这些控制面板又被接上了互联网，人在办公室里就能调温度、查状态、安排检修。

　　便利是真便利，隐患也是真隐患。11日深夜，黑客顺着网络漏洞钻进控制面板，做了两件事，一是强制启动除霜程序，二是把温度设定值改成50摄氏度。于是除霜不再是几分钟的例行公事，而变成连续几个小时的疯狂加热，本该制冷的机器，活活成了一台烤箱。

　　一个为了保护设备而设计的功能，就这样被反向利用，成了摧毁货物的武器。

　　如果说攻击手法还算出人意料，那么接下来的事实，就只能用荒诞来形容。

　　早在今年8月9日，美国克拉罗蒂网络安全公司就公开发布研究报告，清清楚楚写明丹福斯系统存在漏洞，攻击者能够绕过身份验证，在被控设备上执行代码。换句话说，窗户纸在哪、该怎么捅破，两个月前就已经摆上了台面。丹福斯反应也不慢，很快发布软件更新，把窟窿补上了。

　　那为什么到了10月的深夜，几百家超市还是被一锅端?丹福斯的声明给出了答案，也把自己撇得干干净净。声明说，受影响的设备运行的是过时固件，公司长期以来一直建议客户把系统更新到最新状态。言下之意，药方早就开了，是你自己不肯吃药。

　　可超市那边同样一肚子委屈。卖菜的店长不懂什么叫固件，设备是厂商装的，网络是外包运维的，补丁该谁来打、什么时候打、升级期间冷柜停机的损失又算谁的，没有一个环节愿意接。人人都有道理，个个都没责任，于是一个两个月前就被公开、连补丁都写好的漏洞，就这么一路裸奔，直到被黑客轻轻敲开。

　　这才是整件事最值得警醒的地方。击垮这些超市的，与其说是黑客的技术，不如说是一条人人视而不见的责任裂缝。网络安全圈有句老话，最危险的漏洞从来不在代码里，而在人的侥幸心里。明知道窗户没关，还赌贼不会来，这一注，输掉了几百万欧元。

　　把视野再拉开一层，会发现这一夜格外不同寻常。

　　过去这些年，人们印象里的黑客是干什么的?盗号、窃密、勒索，盯着的是数据和钱财，破坏发生在屏幕之内。而这一次，攻击者一不偷钱，二不窃密，连个勒索电话都没有，目标从一开始就是让冰柜停转、让食物报废、让民生链条出乱子。屏幕里的指令，就这样变成了现实世界中50摄氏度的高温和燃烧的火苗。

　　欧盟负责农业和食品事务的委员汉森说了一句很重的话，把食品供应作为攻击目标，已经成为现实。这句话的分量，做餐饮、做零售、做物流的人，应该最能体会。

　　再往深看一层。为什么一次得手，就是几百家门店?因为这些门店的冷柜，装着同一家厂商的同一套系统，又犯着同一个没打补丁的毛病。这正是今天全球供应链的典型脆弱性，效率高度集中，风险也跟着高度集中。一个点被攻破，顺着同一张网络复制过去，就是一整片的瘫痪。丹福斯不是小公司，恰恰因为它足够大、足够专业、客户足够多，它身上的一个漏洞，才具备了震动一个国家零售业的能量。

　　这也不是孤例。8月下旬，十几家美军基地内的超市，冰柜刚遭遇过几乎一模一样的破坏。这一次，据欧洲网络安全公司Sekoia的分析师透露，西班牙、葡萄牙、波兰、德国、比利时也都出现受影响报告。法国国家信息系统安全局已经介入，并与其他欧洲国家协调，巴黎检察官办公室把案件交给反网络犯罪部门侦办。截至目前，没有任何组织宣称负责，攻击者是谁、动机是什么，仍是一团迷雾。

　　不署名，不勒索，不图财，这种沉默本身，往往比叫嚣更让人不安。

　　那么，远在法国的这一夜，和我们有什么关系?关系其实很近。这些年，智慧商超、无人冷库、冷链物流在全球快速铺开，冰箱、电表、水泵、摄像头，越来越多过去不通网的铁疙瘩，如今都挂上了互联网。能远程管理，是销售时的卖点;联网之后由谁守门，却常常是一笔糊涂账。法国超市的遭遇，等于替全世界所有重功能、轻安全的行业，预付了一笔学费。

　　至少有三笔账，值得每个从业者认真算一算。第一笔，设备联网之前，先想清楚它凭什么安全，而不是等出了事再补救。第二笔，补丁和固件更新必须有明确的责任人、明确的时间表，不能在厂商和客户之间来回踢皮球。第三笔，越是大型连锁、统一采购，越要警惕一损俱损的单点风险，安全预案和设备本身一样重要。

　　加拿大网络安全分析师拉尚斯对半岛电视台说，这次攻击规模罕见，给全球敲响了警钟。可警钟这种东西，听在别人的故事里，永远只是一条新闻;只有落到自己头上，才知道疼。

　　一行代码能让冰柜变成火炉，听起来是法国最荒诞的一夜。荒诞的另一面，是技术早就把世界连成了一体，而我们的安全意识，还远远没有跟上。这堂课，法国人花了几百万欧元。希望所有旁听的人，都能记牢。