数字安全观察

法国数百家超市的制冷系统遭到远程攻击，黑客强制启动除霜程序并将温度升至50℃，生鲜和冷冻食品一夜之间损毁，损失可能达到数百万欧元。

勒索软件锁死电脑、数据被加密索要赎金，这些场景你可能都见过。但黑客动动手指，就能让超市冷柜从-20℃升到50℃——你想过吗？上周五夜间，法国数百家超市就遭遇了这一幕：冷柜连续制热六小时，里面的生鲜、冷冻食品成批报废，业内估算损失可能高达数百万欧元。

这起事件的核心目标并非某台服务器，而是制冷控制系统。当OT（运营技术）设备接入互联网，物理世界中的冰箱便成了可被远程操控的“武器”。对每一位负责工控设备的安全人员来说，这一课代价高昂，也很有价值。

据法国BFMTV和新华社报道，10月11日夜间，法国数百家超市的制冷系统遭遇大规模网络攻击。

黑客的手法是“改参数”。冷柜本身带有除霜机制，正常只用于融化蒸发器上的结霜，行业常规配置大约为24小时内除霜两小时。攻击者篡改了这套逻辑，远程触发“强制除霜”，并将温度设定为50摄氏度，让设备连续数小时制热。冷柜不再制冷，反而变成一个持续加热的烤箱。

受影响的是丹麦工业技术公司Danfoss（丹佛斯）的制冷调节软件，主要是4.0版本之前的旧版本。这类控制器在法国零售行业装机量极高——这也是本次攻击影响范围巨大的核心原因。

关键在于，这些制冷设备并非一台台独立的冰箱。

超市的冷柜、冷冻展柜、压缩机统一接入中央调节控制器。这个控制器相当于一台小型工控主机，负责统管各制冷回路的温度、推送告警。它支持联网，原本是为了方便制冷工程师远程查看温度、调整参数，夜间告警时不必连夜赶赴现场。

但便利的代价是暴露面扩大。攻击者一旦拿下这套远程接口，就获得了同等控制权限——门店停业期间，他可以把冷冻柜的温度从-20℃直接上调到30℃甚至更高。

后果是连锁性的。法国家乐福表示旗下80家超市受影响；Monoprix称约5%的门店被波及；Intermarche的母公司Les Mousquetaires说，约150家门店的冰箱在夜间被加热到50℃、持续六小时；零售合作社Coopérative U也确认成为攻击目标。比利时、荷兰的部分门店同样受到牵连。

更值得注意的是，这并非“零day”。今年8月，Claroty的Team82团队就演示过制冷控制器的漏洞，当时一次Shodan扫描就发现超过3700台这类控制器可以直接从互联网访问。换句话说，隐患早已存在，只是没人想到它真会被用来“加热超市”。

这起事件的技术含量其实不高，但它精准命中了工控安全的三个老问题。

第一，联网即暴露。为了让运维省事，大量OT设备直接连上了公网。制冷控制器、PLC、HMI，很多都能被Shodan一类的搜索引擎直接扫到。

第二，默认口令与弱鉴权。这类控制器往往沿用出厂默认账号密码，或者远程接口只做了最基础的鉴权，攻击者拿到一个入口就能批量操作。

第三，IT与OT的防护割裂。IT侧有EDR、有防火墙、有日志，OT侧却常年“三不管”——没人打补丁，没人做资产梳理，出了事才发现连设备清单都没有。

物理世界被攻击的后果，往往比数据泄露更直观：货架上的生鲜是钱，停业抢修是钱，品牌信誉更是钱。这次损失“数百万欧元”的估算，已经说明问题。

如果你的单位也有联网的工控设备，下面这几件事建议尽快落地。

先做资产测绘：用Shodan、FOFA或内网扫描，摸清有多少OT设备暴露在公网。这是所有工作的前提，连资产都不清楚，谈防护是空的。

把设备从公网拉回内网：制冷、暖通、能源类控制器，原则上不该直接暴露在互联网。必须远程访问的，走VPN或零信任网关，并叠加多因素认证。

改掉默认凭证，收紧权限：所有OT设备的默认口令必须改；远程接口按最小权限配置，能只读就不要给写权限。

设置物理安全边界：给关键控制器加上温度、压力的阈值告警。正常除霜不会持续数小时，一旦参数异常，系统要能自动切断或人工介入。

做IT/OT隔离：OT网络与IT网络之间做严格分区，禁止OT设备随意出网，同时监控OT网络里的异常流量。

建立应急预案：想清楚“如果冷库被加热/被锁死，我们怎么在最短时间内止损”。这次事件里，有的门店商品没能撑到开门，有的抢救回了一部分——差别就在应急速度。

把超市冷柜加热到50℃，听起来像个恶作剧，但它的内核是严肃的：攻击者已经学会用网络手段直接伤害物理世界。

从电厂、水厂，到制冷系统、供暖管网，凡是“联网的、能被远程控制的物理设备”，都在这条攻击链的射程之内。网络安全早就不只是“保护数据”，它正在变成“保护现实”。

制冷控制器不会说谎：它忠诚地执行了收到的指令，把温度拉到了50℃。问题不在设备，而在我们有没有给它设好边界。今天被加热的是超市冷柜，明天可能是别的什么——在攻击者想到之前，先把口子收上。

来源：安全客安全动态；原文日期：2026-10-19。内容经中文改写，请以原文为准。

(责任编辑：数字安全观察)