11月2日凌晨，瑞典一家连锁超市的店长打开后台，看到冷藏柜的设定温度是50摄氏度。

不是故障，不是传感器漂移。有人远程把它改成了50。这个温度足以让一柜鲜奶在几小时内全部报废，让压缩机和加热元件在同一个箱体里互相较劲，最后冒烟起火。

同一天，爱尔兰连锁超市SuperValu确认223家门店中有13家的制冷系统被攻击，冷藏和冷冻食品全部下架。比利时和卢森堡数十家门店出现同样症状。爱沙尼亚一家连锁超市的设备供应商对媒体说，当地门店的温度也被设成了50。

比利时检方当天宣布启动刑事调查。欧盟发言人出面表态：网络攻击不只影响企业运营，也会扰乱普通人的日常生活。

这已经是欧洲一个月内第二次了。

一、10月11日那一夜，法国人扔了一整条街的冰淇淋

把时间拨回10月11日深夜。

巴黎检察机关后来用”大规模”形容那晚发生的事：多家大型食品零售商的联网冷柜被同时接管。Les Mousquetaires集团旗下的Intermarché承认，约150家门店的冷柜被加热到50摄氏度，持续六个小时。家乐福说80家门店中招。Monoprix约490家门店里，5%受影响。

巴黎一位居民第二天早上路过市中心一家Intermarché，看到店员推着整车的解冻食品往巨型垃圾箱里倒，融化的冰淇淋从破掉的盒子里淌到街上。

Intermarché的CEO Thierry Cotillard对法国BFM电视台说，损失”全国一天数千万欧元”。

合作社U的CEO Dominique Schelcher在社交平台上写了一句很重的话：攻击保障生鲜保存和法国人食品供应的关键设备，性质极其严重，前所未有。

法国总理办公室的人对路透社说，总理已要求国家网络安全局ANSSI介入调查，并正在和欧洲同行协调，因为”其他国家也可能受影响”。

当时听着像客套话。三周后，瑞典、爱尔兰、比利时、卢森堡、爱沙尼亚全部应验。

二、被点名的丹麦控制器，和被忽略的固件

ANSSI的调查指向丹麦厂商丹佛斯（Danfoss）的制冷控制软件。

丹佛斯的回应很克制：知道法国发生了影响”有限数量制冷管理系统”的事件，受影响设备”运行的是过时的固件”，公司”长期以来一直建议客户保持受支持系统更新到最新固件，并把老旧系统迁移到当前代产品”。

翻译过来就是：漏洞我们早就修了，你没升。

今年8月9日，工业安全公司Claroty的Team82团队公开过对丹佛斯AK-SM 800A控制器的研究。那是一台管理整个门店冷柜的中央控制面板，通常由维保公司通过互联网远程访问，这正是它被盯上的原因。

Team82挖出三个东西。

第一个是被称为”当日密码”（code-of-the-day）的隐藏认证机制。攻击者只要在认证请求里带上两个特定参数，验证流程就会绕过正常的管理员密码校验，转而和一个由设备当前日期时间生成的密码做比对。把生成算法逆出来之后，任何人每天都能算出当天的合法凭证。编号CVE-2025-41450。

第二个是命令注入，编号CVE-2025-41451，可以拿到远程代码执行。

第三个是已认证用户可以往Nginx配置里注入任意指令，能改流量走向，也能直接把Web服务打瘫。

Team82在报告里提到，他们做互联网暴露面测绘时，发现了数以千计可公开访问的管理界面。

一套完整的攻击链，前提只有一个：这台设备还连着网，还跑着老固件。

这就解释了10月法国出现的那种画面。不是有人发明了新武器，是有人把三个月前就公开的旧武器，对准了一批没升级的设备。

在工控和物联网这个圈子里，”没升级”是常态，不是例外。

三、为什么偏偏是冷柜

安全圈有个说法：攻击者永远挑最软的地方。

冷柜控制系统符合所有”软”的特征。

它部署在门店，不在机房。门店没有专职安全人员，网络往往和收银、Wi-Fi、监控混在一起。它必须联网，因为维保要靠远程。它跑着多年不动的嵌入式固件，厂商支持周期一过就没人管。它的默认口令常常没改，管理界面直接暴露在公网。

最要命的是，它的失效后果是物理的。

改一台服务器的配置，你损失的是数据和可用性。改一台冷柜的设定温度，你损失的是几吨生鲜、一整面货架的商品、可能烧起来的压缩机和随之而来的消防车。

这类系统在行业里叫信息物理系统（CPS）。它的安全边界不止在屏幕里，还在温度、压力、阀门和电机的物理世界里。

今年8月底，美国约十余家军队商店也出现过类似情况，冷柜受影响，食品报损。当时没引起太多讨论。现在回头看，那更像一次预演。

四、没有勒索信的第二次

这两轮攻击都没有出现勒索信。

传统勒索软件的逻辑是先加密、再留信、再谈钱。这次不是。攻击者只是把温度调上去，然后走人。

这让防御方很难判断意图。是国家级行为体在做压力测试？是勒索团伙在展示能力、准备下一轮开价？还是纯粹的破坏？比利时检方启动刑事调查，瑞典网络安全部门介入，但至今没有官方归因。

从安全运营角度，这种”无诉求破坏”其实更难防。因为你的检测逻辑里，”异常登录”只有在后面跟着数据外传或文件加密时才被判定为高危；”温度设定被改”在监控系统里只是一条参数变更日志，值班的人未必会看。

而它造成的损害是实打实的：食品报废、门店停业、品牌受损、监管介入。对一家连锁超市来说，一天数千万欧元的损失，比很多勒索赎金都高。

五、几条现在就能做的动作

如果你所在的单位、园区、工厂、连锁门店里有联网的制冷、暖通、能源管理设备，下面几条现在就能做。

第一，先把暴露面收掉。用Shodan、Fofa或者自建测绘扫一遍自己的公网IP段，看有没有制冷控制器、PLC、HMI的管理界面在裸奔。有的话，第一时间用防火墙策略限制来源IP，只允许维保方固定出口访问。

第二，改掉默认口令，关掉不必要的远程维护通道。这类设备的Web管理界面如果必须对外开放，至少上VPN或零信任网关，不要直接映射端口。

第三，查固件版本。对照厂商公告确认是否在受影响范围内。不在支持周期内的老设备，认真评估替换，而不是继续”再撑一年”。

第四，在监控里加一条规则：制冷、暖通系统的设定值变更，尤其是超出正常区间的变更，直接进高危告警。设定温度从4度跳到50度，这本身就是一次入侵的强信号。

第五，把门店网络分段。收银、办公、监控、设备控制分开，设备控制网段禁止主动外联。这一条能挡掉大部分远程操控。

六、这件事真正的提醒

过去十年，工控安全在我国是个被反复强调、又被反复搁置的话题。大家都知道重要，但预算总是先给办公网、给等保、给终端。

冷柜这件事给的提醒很直接：攻击者不关心你的核心系统有多难打，他们只关心哪个口子最好进、进去了能造成多大动静。

一家超市的冷库，一台车间的温控器，一个园区的空调主机。它们不在你资产清单的前几页，但它们在互联网上，它们用着五年前的固件，它们的密码可能是123456。

法国那次之后，很多人以为是偶发。11月2日这天，五个国家同时出现同样的症状，说明不是偶发，是有人在批量找目标。

丹麦厂商说”请升级固件”，这句话在技术上完全正确，在现实里非常苍白。因为大量设备根本升不了，或者没人负责升。

真正要回答的问题不是”为什么他们不升级”，而是”下一次，冷柜里放过的东西是什么”。

更多AI知识，请扫码关注Aiker World社区公众号

Aiker World社区网址：https://aikerworld.com

Aiker World（AI世界）-聚焦AI人才与智能体工具的垂直专家社区。专家领航+人才汇聚+工具赋能，打通AI技术与产业落地断层，为AI从业者、开发者及企业提供一站式成长与协作平台。