欧洲超市冷柜再遭黑客攻击：丹佛斯控制器被调至 50°C，波及六国

11 月 2 日凌晨，欧洲各地的超市经理被同一个警报惊醒：他们的冷柜不是在制冷，而是在升温。大约凌晨 2 点半，比利时埃克洛一家 Delhaize 超市的经理摸黑驱车赶到店里，重置一套被调到 50°C 的系统。在瑞典南部的舍布，一家 ICA Kvantum 门店的员工到店时发现热气正往冷柜里吹，而且怎么也关不掉，这家店周一上午只能停业。到天亮时，比利时、卢森堡、瑞典、爱尔兰、爱沙尼亚和荷兰都报告了同样的情况，芬兰也在调查类似故障。这不是停电，也不是温控器失灵。这是三周内同一攻击的第二波，而本应阻止它的警告其实早就发出去了。

第一波发生在 10 月 11 日至 12 日夜间，攻击者远程控制了法国多达 700 家超市和独立店铺的制冷设备，让设备连续除霜约六小时。Intermarché 称其 150 至 200 家门店受影响，Coopérative U 约 80 家，家乐福约 80 家，Monoprix 约 30 家，巴黎检察官办公室称损失中还包括火灾。Intermarché 首席执行官称，法国一天之内的损失就达数千万欧元。10 月 12 日，法国政府计算机应急响应小组 CERT-FR 要求所有使用受影响控制器型号的运营方将设备断网或限制访问。控制器制造商、丹麦企业丹佛斯也在 10 月 13 日向客户发出了自己的警告。然而三周后，仍可从互联网直接访问的控制器在至少六个国家又遭攻击，丹佛斯在荷兰的发言人表示，如果商店听从了警告，这些攻击本可以避免。

攻击手法简单得近乎尴尬，而这正是它屡屡得手的原因。每家受影响门店的制冷都由一台中央控制器管理：一块面板掌管所有陈列柜和冷库的设定温度、安排除霜周期，并提供网页界面，方便承包商远程调节设备。除霜本是短时间给蒸发器盘管加热以除冰。入侵者却把它打开后一直开着，设定温度高达 50°C，于是本应保护食品的加热器反过来烤热了冷柜。据法国安全公司 Sekoia 的一名分析师称，攻击者似乎并未在控制器上植入恶意代码，这让调查人员可追踪的痕迹更少。丹佛斯点名的型号 AK-SM 800 和 AK-SC 355，与法国遭袭的是同一批。丹佛斯于 2021 年 5 月宣布 AK-SM 800 停产，2016 年逐步淘汰 AK-SC 355，两款产品自退役后就再未获得安全更新。在荷兰，丹佛斯表示部分遭袭设备没有接入受保护网络，而且仍在使用默认密码。

第二波比第一波更难轻描淡写，原因在于受害者的分布。大型连锁基本扛住了：比利时家乐福称其 700 多家门店中 15 家受影响且全部照常营业，瑞典连锁 Coop 称其 800 家门店中 7 家遭袭。损失集中在系统最薄弱的地方——加盟店、连锁中央网络之外的门店、小肉铺和社区小店。ICA 表示，遭袭的是少数使用外部供应商、接入其中央网络之外的门店。芬兰的故障也发生在 Kesko 连锁中央安全监控之外的设备上。比利时一家安装商表示，仅靠软件更新无法堵住漏洞，因为这些装置需要花钱做物理改造。而最简单的防护——通过安全连接管理控制器——恰恰是小运营商最慢采取的一步，他们各自有不同的承包商和预算。

两波攻击至今无人认领，没有勒索要求，也没有任何官方机构作出归因。这种缺席本身就是故事的一部分：SentinelOne 的研究人员指出，这类攻击通常与勒索、政治动机或国家行动有关，没有经济诉求这一点指向破坏。欧盟农业与食品专员克里斯托夫·汉森称，第二波是蓄意扰乱欧盟食品供应、动摇公众信心的企图，同时补充说欧洲的粮食安全目前没有受到威胁。比利时联邦检察官已展开刑事调查。关于粮食安全的保证在整个欧洲大陆的尺度上是真实的，但在真正重要的尺度上却几乎文不对题：安特卫普以南的一位店主发现自家冰箱温度升到 18°C，只好报警；一位 Delhaize 运营商估计自己的损失不低于 10 万欧元，还不包括营业额损失。

在我看来，这是一个关于大隐于市的基础设施的故事。冷链是人人依赖、却无人留意、直到出事才被想起的系统之一，而它在成千上万家店铺里，竟然是由面向公开互联网的网页界面操控的退役硬件在运行。解决办法并不高深：断开控制器、放到防火墙或 VPN 后面、换掉制造商多年前就停止支持的硬件。但枯燥的修复需要有人出钱、有人负责，而在加盟化、碎片化的零售业里，这个“有人”往往是谁也不具体。第一波是一次警告。第二波——在政府响应小组公开警告三周后到来——则说明了警告在一个没有单一所有者的系统里是如何传播、又是如何失效的。我自己的判断是，这事还没完：在互联网上仍可看到成千上万个暴露的系统、而同一手法已经两次得手的情况下，除非第二波终于迫使人们完成第一波没能促成的断网，否则在 2027 年 3 月底之前，至少还会再出现一波公开报道的攻击。