歐洲超市冷櫃再遭駭客攻擊：丹佛斯控制器被調至 50°C，波及六國

11 月 2 日凌晨，歐洲各地的超市經理被同一個警報驚醒：他們的冷櫃不是在製冷，而是在升溫。大約凌晨 2 點半，比利時埃克洛一家 Delhaize 超市的經理摸黑驅車趕到店裡，重置一套被調到 50°C 的系統。在瑞典南部的舍布，一家 ICA Kvantum 門市的員工到店時發現熱氣正往冷櫃裡吹，而且怎麼也關不掉，這家店週一上午只能停業。到天亮時，比利時、盧森堡、瑞典、愛爾蘭、愛沙尼亞和荷蘭都報告了同樣的情況，芬蘭也在調查類似故障。這不是停電，也不是溫控器失靈。這是三週內同一攻擊的第二波，而本應阻止它的警告其實早就發出去了。

第一波發生在 10 月 11 日至 12 日夜間，攻擊者遠端控制了法國多達 700 家超市和獨立店鋪的製冷設備，讓設備連續除霜約六小時。Intermarché 稱其 150 至 200 家門市受影響，Coopérative U 約 80 家，家樂福約 80 家，Monoprix 約 30 家，巴黎檢察官辦公室稱損失中還包括火災。Intermarché 執行長稱，法國一天之內的損失就達數千萬歐元。10 月 12 日，法國政府電腦應急響應小組 CERT-FR 要求所有使用受影響控制器型號的營運方將設備斷網或限制存取。控制器製造商、丹麥企業丹佛斯也在 10 月 13 日向客戶發出了自己的警告。然而三週後，仍可從網際網路直接存取的控制器在至少六個國家又遭攻擊，丹佛斯在荷蘭的發言人表示，如果商店聽從了警告，這些攻擊本可以避免。

攻擊手法簡單得近乎尷尬，而這正是它屢屢得手的原因。每家受影響門市的製冷都由一台中央控制器管理：一塊面板掌管所有陳列櫃和冷庫的設定溫度、安排除霜週期，並提供網頁介面，方便承包商遠端調節設備。除霜本是短時間給蒸發器盤管加熱以除冰。入侵者卻把它打開後一直開著，設定溫度高達 50°C，於是本應保護食品的加熱器反過來烤熱了冷櫃。據法國安全公司 Sekoia 的一名分析師稱，攻擊者似乎並未在控制器上植入惡意程式，這讓調查人員可追蹤的痕跡更少。丹佛斯點名的型號 AK-SM 800 和 AK-SC 355，與法國遭襲的是同一批。丹佛斯於 2021 年 5 月宣布 AK-SM 800 停產，2016 年逐步淘汰 AK-SC 355，兩款產品自退役後就再未獲得安全更新。在荷蘭，丹佛斯表示部分遭襲設備沒有接入受保護網路，而且仍在使用預設密碼。

第二波比第一波更難輕描淡寫，原因在於受害者的分布。大型連鎖基本扛住了：比利時家樂福稱其 700 多家門市中 15 家受影響且全部照常營業，瑞典連鎖 Coop 稱其 800 家門市中 7 家遭襲。損失集中在系統最薄弱的地方——加盟店、連鎖中央網路之外的門市、小肉鋪和社區小店。ICA 表示，遭襲的是少數使用外部供應商、接入其中央網路之外的門市。芬蘭的故障也發生在 Kesko 連鎖中央安全監控之外的設備上。比利時一家安裝商表示，僅靠軟體更新無法堵住漏洞，因為這些裝置需要花錢做物理改造。而最簡單的防護——透過安全連線管理控制器——恰恰是小營運商最慢採取的一步，他們各自有不同的承包商和預算。

兩波攻擊至今無人認領，沒有勒索要求，也沒有任何官方機構作出歸因。這種缺席本身就是故事的一部分：SentinelOne 的研究人員指出，這類攻擊通常與勒索、政治動機或國家行動有關，沒有經濟訴求這一點指向破壞。歐盟農業與食品專員克里斯托夫·漢森稱，第二波是蓄意擾亂歐盟食品供應、動搖公眾信心的企圖，同時補充說歐洲的糧食安全目前沒有受到威脅。比利時聯邦檢察官已展開刑事調查。關於糧食安全的保證在整個歐洲大陸的尺度上是真實的，但在真正重要的尺度上卻幾乎文不對題：安特衛普以南的一位店主發現自家冰箱溫度升到 18°C，只好報警；一位 Delhaize 營運商估計自己的損失不低於 10 萬歐元，還不包括營業額損失。

在我看來，這是一個關於大隱於市的基礎設施的故事。冷鏈是人人依賴、卻無人留意、直到出事才被想起的系統之一，而它在成千上萬家店鋪裡，竟然是由面向公開網際網路的網頁介面操控的退役硬體在運行。解決辦法並不高深：斷開控制器、放到防火牆或 VPN 後面、換掉製造商多年前就停止支援的硬體。但枯燥的修復需要有人出錢、有人負責，而在加盟化、碎片化的零售業裡，這個「有人」往往是誰也不具體。第一波是一次警告。第二波——在政府響應小組公開警告三週後到來——則說明了警告在一個沒有單一所有者的系統裡是如何傳播、又是如何失效的。我自己的判斷是，這事還沒完：在網際網路上仍可看到成千上萬個暴露的系統、而同一手法已經兩次得手的情況下，除非第二波終於迫使人們完成第一波沒能促成的斷網，否則在 2027 年 3 月底之前，至少還會再出現一波公開報導的攻擊。