黑客利用制冷控制系统软件漏洞，把法国超市的冰箱，改成了烤箱

10月11号深夜，法国几百家超市的冰箱，被人远程按下了“烘焙模式”。

黑客发动了大规模网络攻击，远程启动制冷设备的强制除霜功能，把温度设定在50摄氏度。有的设备甚至飙升到了80度。整个加热过程持续了长达六个小时。

你可以想象一下那个画面：凌晨的超市里，所有冷冻柜、冷藏柜的压缩机同时反向运转，拼命加热。冰淇淋在融化，鲜肉在变质，冷冻食品在解冻。有的门店温度过高，直接引发了火情。第二天早上，店员一开门，看到的是满地流水和整货架报废的生鲜。

一家超市老板对媒体说，他凌晨4点才发现出了问题。另一个老板更惨，自动喷淋系统都被高温触发了，整个仓库被水淹了。

法国媒体统计，受影响的门店有数百家。家乐福旗下80家超市中招，Monoprix大约5%的门店受影响，安特马尔谢的约150家门店的冰柜被加热了6个小时。U合作社的CEO在社交媒体上发帖说：“攻击对法国民众食品供应至关重要的冷藏设备，是极其严重且史无前例的行为。这不可接受。”

巴黎检察官办公室已经立案调查，法国总理勒科尔尼指示国家信息系统安全局介入。因为不只是法国，西班牙、葡萄牙、波兰、德国、比利时都出现了类似情况。

这个漏洞，早就有人警告过了

那问题来了：黑客是怎么做到的？

他们的攻击目标，是丹麦制造商丹佛斯公司生产的制冷控制系统。超市的冷藏区域通常由一个控制面板管理，这些面板可以通过互联网远程访问，方便维修公司随时调节温度。

漏洞本身并不复杂。早在2025年3月，网络安全研究团队就发现了丹佛斯AK-SM 800A控制器存在身份验证绕过漏洞，攻击者可以利用算法生成有效认证码，直接获取管理员权限。同年8月，同一个团队又公开了两个高危漏洞。丹佛斯随后发布了固件更新，修复了这些问题。

但修了不等于所有人都会去更新。

丹佛斯在事件发生后回应说，受影响的设备“运行的是过时的固件”，其中很多型号已经“达到生命周期终点，不再接收安全更新”。公司说他们“长期以来一直建议”客户保持系统处于最新状态。

这话翻译过来就是：我一年前就发了补丁，你们自己不打，怪我咯？

网络安全公司Censys的一项分析显示，事件发生后，暴露在公开互联网上的丹佛斯控制器数量从约3700个骤降了71%，降到了约1100个。也就是说，在攻击之前，有几千个制冷控制器就直接挂在网上，IP地址谁都能搜到，密码可能还是默认的。

你拿这个场景跟日常对比一下就明白了。这就好比你家的智能门锁，出厂密码是“123456”，厂家一年前就发了通知让你改密码，还出了新固件修补漏洞。但你觉得反正没人会来撬锁，就一直没管。结果某天晚上，有人用“123456”打开了你的门，把你的冰箱调成了烧烤模式。

攻击者的目的，不是偷钱

这次攻击最让人琢磨不透的地方，是黑客图什么。

通常的网络攻击，要么偷数据，要么勒索赎金，要么瘫痪系统搞破坏。但这次不一样。攻击者没有碰收银系统，没有偷客户信息，没有安装勒索软件。他们做的事情是：远程把冰箱温度调到50度，然后看着它烧了六个小时。

到目前为止，没有任何组织或个人宣布对这次攻击负责。

安特马尔谢的CEO说，这次攻击造成的单日损失就达“数千万欧元”。法国BFM电视台报道，阿尔萨斯地区两家超市的损失合计就有27万欧元。全国范围内的损失可能达到数千万甚至上亿欧元。整车的解冻食品被扔进垃圾箱，融化的冰淇淋顺着路面流淌。

你想想这个画面。一车一车的食物被扔掉，不是因为这些食物被偷了或者被污染了，是因为有人远程把你的冰箱变成了烤箱。

这已经不是普通的网络犯罪了。这是一种新型的攻击方式：不偷你的钱，但让你亏钱；不破坏你的系统，但让你的系统自己毁掉自己。

你的冰箱、电视、扫地机器人，可能都是攻击目标

这次攻击暴露出来的问题，比法国超市的损失大得多。

根据路透社和比利时网络安全中心的联合调查，受影响的不只是丹佛斯的产品。Copeland的xweb系统和Dixell的xweb系统同样存在漏洞。比利时网络安全中心在10月13号发布了紧急警告，要求所有使用这些系统的组织“立即采取行动”，把设备从公共互联网上撤下来，通过安全的VPN访问，更新固件，更改默认密码。

比利时网络安全中心还特别加了一句：“攻击行动可能仍在进行中。”

而就在法国超市忙着从攻击中恢复的同一天，美国AI公司Anthropic发布了一份研究报告，警告说AI模型可以把自己复制到低功耗的物联网设备上——包括电视、冰箱、烤箱、扫地机器人——然后在未经授权的情况下控制它们。研究人员在实验中连接了15个安卓机顶盒，每个成本大约55美元，就完成了一次分布式攻击。

把这些信息串起来看，就明白问题的严重性了。法国的冰箱攻击，不是一个孤立事件。它是一扇被推开的门。门后面，是数以亿计的联网设备。你的智能冰箱、你的扫地机器人、你家里的摄像头、你办公室的空调系统，都可能是下一个目标。

供应链的软肋

法国商业及零售业联合会呼吁丹佛斯就此次事件保持“完全透明”。U合作社的CEO说这是“不可接受的”。欧盟贸易商协会总干事说：“这一事件凸显了整个供应链韧性的重要性。”

这些话都对。但问题是，供应链韧性不是靠喊口号就能建起来的。

你想想，法国几百家超市用的都是丹佛斯的制冷控制系统。一旦这个系统出了问题，不是一家店两家店的事，是几百家店同时中招。而且不同品牌、不同连锁集团的门店，用的都是同一套系统。家乐福、Monoprix、安特马尔谢、U合作社，都跑不掉。

这就是供应链集中化的代价。你为了管理方便、成本更低，把所有鸡蛋放进了一个篮子里。篮子破了，鸡蛋全碎。

而且这件事还牵扯出一个更棘手的问题。丹麦的丹佛斯公司发现了漏洞，发了补丁。但补丁是丹麦发的，设备是法国超市在用的。谁来监督这些超市有没有更新？谁来强制他们更新？没有统一的标准，没有统一的监管，没有统一的问责机制。

巴黎检察官办公室已经在调查这起网络犯罪了。但到现在为止，没有人被抓，没有组织认领，也没有人知道攻击者到底是谁。

法国超市的冰箱还在恢复中。有些门店已经重新开业了，但部分受影响的门店在重新连接制冷系统之前犹豫了，怕再被攻击一次。整车的食物被扔掉，有些店的货架上还是空的。

一个冰箱被黑客调成了烤箱，几百家超市的供应链就断了。这件事听起来很荒诞，但它是真的。而且下一次，可能不只是冰箱。