冷柜黑客二次来袭，欧洲超市食品大面积变质

11月2日周一夜间至次日，攻击者远程修改了至少九个欧洲国家超市和食品企业制冷控制系统的设置，使冰柜和冷柜升温，迫使门店将冷藏和冷冻食品撤下货架。这是三周内的第二波攻击，此前10月中旬的一轮行动曾波及法国数百家超市。目前尚无任何组织宣称对两波攻击负责，英国和比利时当局表示，责任归属或许永远无法确定。

受影响的名单很长，但单个连锁企业的损失得到了控制，这一次如此。The Hacker News梳理了已确认的案例：比利时和卢森堡的 Delhaize 有数十家门店受影响，Carrefour 旗下700多家门店中有15家受波及，此外还有 Intermarché、Spar、蒙斯的一家宜家、瑞典的 ICA 和 Coop、爱尔兰 Musgrave 旗下的 SuperValu（223家门店中的13家）、爱沙尼亚的 Selver、芬兰的 Kesko、葡萄牙 Intermarché 旗下的 Mosqueteiros 集团、西西里由 Radenza Group 经营的 Coop 门店，以及至少17家荷兰企业，包括肉铺和小型商店。在英国，The Record报道称，独立肉类供应商协会的三名成员通过存在漏洞的 Copeland XWEB 监控控制器遭到入侵，批发商 Langridge Organic 也受到影响。

目前最严重的损失数字来自安特卫普地区的一名肉铺老板 Luc De Laet。他对路透社表示，冰柜被调高到18°C后，约1.5万欧元的肉制品报废。大多数连锁企业报告的损失有限，还有几家完全没有损失，原因是恰好有人在盯着。

事件时间线

这一点必须梳理清楚，因为事件的先后顺序比标题更重要。

8月，工业网络安全公司 Claroty 的研究人员披露了 Copeland XWEB Pro 控制器中近二十个漏洞，此后固件修复版本即已推出。据 AIMS 成员内部传阅的一份安全通告，XWEB 固件1.12.1及更早版本存在严重的认证绕过漏洞，攻击者无需密码即可接管设备。

10月中旬：第一波攻击袭击了法国超市，导致食品变质，据 CSO Online 报道，还引发了若干火情。CERT-FR 发布公告，要求运营者将所有带公网 IP 的制冷控制系统从互联网断开，并在核查配置、必要时恢复出厂设置后，仅通过安全 VPN 重新连接。作为应急过渡措施，运营者可以设置过滤，只允许其制冷供应商的 IP 地址连接。10月13日，Danfoss 向其荷兰客户给出了同样的建议：断开连接，仅通过安全网络重连。

第二波攻击的第0天，即11月2日：攻击者把目标对准了尚未采取行动的运营者。在比利时，设备被切换到除霜模式，这一功能本用于清除冰层，此时却被用来给食品加热。瑞典延雪平（Sjöbo）的一家 ICA 门店报告冰柜和冷柜被设置到50°C。在爱沙尼亚的一家 Selver 门店，冷冻柜的设定温度被提高到50°C；实际温度仅上升了2–3°C，员工约十分钟后便将其恢复，没有任何商品损失。据 Danfoss 自己的说法，中招的荷兰系统既未置于安全网络中，又仍在使用默认密码。

整条攻击链就是这样。没有恶意软件，没有任何人描述过的持久化机制，也谈不上像样的横向移动。互联网暴露的控制器、薄弱或缺失的身份验证、被更改的设定值、变质的库存。英国国家网络安全中心（NCSC）运营负责人 Paul Chichester 谈到法国那一波攻击时说：“这利用的是那些确实已经存在很长时间的漏洞。”都是些平淡无奇的漏洞，却被大规模利用。我处理过的一些更花哨的事件，造成的破坏都没有这么大。

这些本可以在何时被发现？有三个节点。8月，补丁发布时；10月13日，厂商告诉客户断开连接时；以及攻击发生的当晚。Langridge Organic 的董事总经理 Alex Pearce 告诉《The Grocer》，他“很确定自己打断了一次正在进行的黑客入侵”。他眼看着一台冰柜被远程调到除霜模式，便亲手把它从网络上拔了下来。人工干预保住了他的库存。这算不上什么控制措施，只不过是靠运气加上一双手。

暴露面：你的冷链很可能是别人的问题

许多零售商在法国事件后仍未行动，原因未必是懒惰，更多是结构性的。Gartner 的 Katell Thielemann 告诉 CSO Online，零售商拥有硬件，却把维护、保养和管理外包出去，“在这个外包的黑箱里，谁拥有什么，本身就有些混乱”。IDC 的 Bobby Kuzma 则用每位事件响应人员都会熟悉的说法解释道：负责监控漏洞报告的安全团队与管理运营技术（OT）的人员是两批不同的人，前者“可能甚至不知道这些设备是联网的，尤其是当它们依托厂商支持的专线运行时”。

所以第一步检查不是扫描，而是走访。Kuzma 的建议朴实却正确：有人需要亲自走进每个站点的电信机房，仔细询问那里有哪些设备，以及它们连接着什么。Kesko 的声明很有启发性：受影响的芬兰门店，其设备位于 Kesko 的中央防护之外。Musgrave 则表示，其事件只涉及一个制冷型号。两件事指向同一个结论：资产环境的异构性会让集中管理的假设失效。

具体来说，本周的暴露排查应包括：

• 盘点你所有的制冷控制器，包括 Danfoss、Copeland XWEB 及其他设备，也包括较小或加盟门店由承包商安装的设备。
• 对照 Copeland XWEB 公告检查每台设备的固件：1.12.1 及更早版本存在认证绕过漏洞。
• 找出所有可从公网访问的控制器，包括那些通过 4G 上行链路和厂商支持专线连接的设备。
• 检查默认凭据。Danfoss 表示，荷兰受害者仍在使用默认凭据。
• 书面询问你的制冷承包商如何远程连接，以及该路径是否符合 CERT-FR 的指导。

检测：日志显示了什么？

诚实的答案是：我们不知道，因为几乎没有人在收集日志。这些攻击是靠热力学发现的，而不是靠遥测数据：食品升温，员工察觉，一位负责人恰好在看直播。ICA 并未证实遭遇了网络攻击。Kesko 则报告了异常温度，原因仍在调查中。

这里的检测机会成本很低，正因如此，它们的缺席才格外令人懊恼：

• 对维护时段之外的设定值变更发出告警。凌晨2点在数十家门店同时下达除霜指令，绝不是一次例行维修。
• 记录并告警控制器的认证事件，尤其是来自非已知承包商 IP 地址的成功登录。
• 设置独立于控制器本身的温度告警。如果报告温度的设备正是被攻击的设备，你的监控就成了人质。
• 出口流量感知：了解每个站点的哪些设备对外通信，以及通信的目的地。据报道，有几个受害者甚至不知道这些设备已接入互联网。

爱沙尼亚的案例显示了即便响应良好也有其上限：从发现到处置用了十分钟，冷冻柜温度仍上升了2–3°C。对冷冻库存来说尚可接受。但请想想，同样的十分钟对于一个在压缩机满负荷运行下进行的除霜周期意味着什么。法国报道的火情，正是没有人在看管时的情形。

缓解措施与长期修复

缓解措施早已写明，而且行之有效。那些荷兰受害者正是忽视了这些措施的人。CERT-FR 十月的指导仍是当前的行动指南：将带公网 IP 的控制器从互联网上撤下，核查配置，存疑时恢复出厂设置，通过安全 VPN 重连，并以允许列表放行供应商 IP 作为过渡。Copeland 表示，已向客户重新传达了其补丁和安全协议。XWEB 运营者应把固件更新视为本周的任务，而不是本季度的任务。

从长远看，那个令人不安的问题正是本文编辑角度所提出的：一旦攻击者能将薄弱的 OT 访问转化为变质库存、紧急人工、废弃处理成本和火灾风险，超市制冷的远程控制是否仍然利大于弊？经济账依然有利于远程管理。Sabcobel 和 Kitman Coldtech 等制冷承包商之所以存在，正是因为远程监控整个门店网络比逐店上门更划算，而且温差带、除霜和压缩机压力的调校确实需要远程完成。真正改变投资回报率的，是规范的远程管理（分段网络、VPN 访问、唯一凭据）与荷兰受害者所运行的那种模式之间的差距：设备挂在开放的互联网上，却仍使用出厂密码。两者是价格完全不同的两种产品，而本周的损失，就是混淆二者的账单。

监管可能会以不均衡的方式迫使各方行动。AIMS 正推动让食品行业在英国关键国家基础设施认定中获得更稳固的地位；目前没有任何单一食品资产被认定为关键基础设施，该行业也不在即将出台的《网络安全与韧性法案》（Cyber Security and Resilience Bill）覆盖范围之内，该法案的罚款最高可达1700万英镑或全球营业额的4%。欧盟的 NIS2 指令确实涵盖食品生产和分销。NCSC 首席执行官 Richard Horne 称这些冰柜攻击“不过是‘山麓地带’而已”，即其机构年度报告所警示的更大威胁的开端；其首席技术官 Ollie Whitehouse 则表示，他“惊讶地看到，到2026年，这些设备仍在接入互联网，尽管已有警告”。

结论

两波攻击相隔三周，手法相同，受害者大多属于同一类。两波之间的差距并非来自攻击者的创新，而是防御方的不作为，其中很大一部分可以归咎于外包安排让无人真正承担风险。如果你负责冷库，问题不在于你的控制器是否存在漏洞，而在于你的组织里是否有人能在今晚告诉你，其中哪些设备可以从互联网访问。攻击者早已掌握这份清单，他们在补丁未被应用的同时，就利用公开扫描数据编制完成了。