法国350家超市冷柜被黑到50°C，4500台丹佛斯控制器仍暴露在网上

黑客在一夜之间远程控制了法国至少350家超市的冰箱和冷柜，将它们切换到除霜模式，任由温度升至最高50°C（122°F）。在Intermarché，约150家门店的冰柜在这个温度下持续了六小时，里面的商品全部被丢弃。攻击者入侵的入口，是负责管理整家门店冷藏区域的设备：一台由制冷承包商通过互联网管理的Danfoss控制器。

对顾客来说，这意味着冷冻食品区关闭，巴黎市中心的员工把一车车解冻的肉和融化的冰淇淋倒进巨型垃圾箱。而对其他人来说，问题远不止于法国。路透社使用Shodan搜索引擎发现，袭击发生后仍有至少4500个Danfoss接口暴露在网上；法国扫描公司Onyphe表示，看起来只有极少数设备运行着最新软件。

Carrefour统计称有80家超市受到影响，Monoprix则约有490家法国门店中的5%受影响。Coopérative U也遭到波及，不过其首席执行官多米尼克·谢尔歇（Dominique Schelcher）表示，由于员工和承包商反应迅速，大多数受影响门店的冷链都得以维持。E.Leclerc称，其一家制冷供应商遭到攻击。巴黎检察院报告称，食品遭受损失，部分设备开始起火。Intermarché母公司Les Mousquetaires的负责人蒂埃里·科蒂亚尔（Thierry Cotillard）告诉BFMTV，这场损失“在全国范围内一天之内就会达到数千万欧元”。

Danfoss表示，许多遭袭设备“已到生命周期末期，不再接收软件或安全更新”，另有一些“运行的是过时固件”。该公司点名了两款较老型号AK-SM 800和AK-SC 355，它们多年前就已停产；部分运行旧固件的现售AK-SM 800A控制器也未能幸免。法国国家网络安全局ANSSI还将Copeland及其Dixell品牌的软件列入受影响系统。Copeland承认存在“漏洞”，并表示：“我们目前正与受影响的客户合作，以降低风险。”

超市制冷设备接入互联网，原因其实很普通：承包商无需开车前往门店，就能调整温度、清除警报并更改除霜周期。政府应急响应团队CERT-FR已要求所有使用Danfoss AK-SM和AK-SC控制器的运营方将设备断网，或严格限制能够访问设备的对象。据法新社报道，ANSSI局长文森特·斯特吕贝尔（Vincent Strubel）称，这一步刻不容缓。

目前仍无人能说清攻击者是如何入侵的，也不知道他们为何发动攻击。据路透社引述的一名消息人士称，没有组织声称对此次攻击负责，也没有人提出勒索要求，这让调查人员感到困惑。CERT-FR没有指出具体漏洞、固件版本或供运营方排查的入侵迹象；安全公司Claroty记录的AK-SM 800A漏洞也尚未与此次攻击联系起来。最老型号的设备根本没有补丁可装，因此真正的解决办法是更换硬件，并通过当初安装旧设备的同一批承包商购买新设备。“这关乎基本的网络卫生，”Pen Test Partners的肯·芒罗（Ken Munro）说，“一旦做不好，就会闹出一堆解冻食品发臭的烂摊子。”他还表示，攻击者面对的是一道敞开的大门，作案者很可能只是“瞎折腾的孩子”。

受影响的可能不止法国。Sekoia威胁情报分析师菲利克斯·埃梅（Félix Aimé）告诉路透社，西班牙、葡萄牙、波兰、德国和比利时也受到影响，但未透露详情；ANSSI正与欧洲其他地区的相关机构保持联系。与此同时，荷兰零售商Ahold Delhaize的线上杂货服务也因另一起事件而下线，但荷兰国家网络安全中心NCSC认为两者没有关联。类似事件并非没有先例：8月下旬，美国约十几家军方营区商店的冰柜曾以相似方式遭到干扰；Danfoss自己的客户通讯则记录了2022年俄罗斯16家超市和以色列40家门店遭袭的事件。

此次攻击始于10月11日星期日夜间，CERT-FR于次日发布警报。Danfoss于2021年5月宣布AK-SM 800停产退役，并于2016年逐步停产AK-SC 355；Claroty则在8月9日公布了对较新型号的研究。巴黎检察院网络犯罪部门已启动调查，由反网络犯罪办公室OFAC负责，目的是统计受害者人数，并将每项损失与此次攻击对应起来。法国零售业联合会FCD已要求Danfoss“完全透明”。在调查人员查明入侵途径之前，CERT-FR列出的最省钱解决办法无需安装补丁：让控制器断开互联网连接。

标签: Pelé, Cher, 网络攻击, ANSSI, Carrefour, Danfoss