冷冻柜内高达50℃： 制冷设备变成加热器的那一夜

针对制冷设备的攻击，正迫使欧洲的超市丢弃食品。这些事件揭示了一种令人不安的可能性：即便是正常的运行功能，也可能造成损害。因此，关键问题不仅是攻击者如何进入系统，还在于他们进入之后，什么机制仍能阻止他们。

第一个迹象，是一摊积水。
2026年11月2日，星期一早晨，Mats Olsson走进自己位于瑞典厄兰岛Böda的ICA超市，发现地面上有积水。他告诉瑞典电视台SVT，店里的冷冻设备温度曾达到55℃，冷藏和冷冻食品库存都已损毁。超市仍然营业，但偏偏缺少了那些本应由这些设备保持低温的商品。

斯德哥尔摩的事件同样始于深夜。据销售经理Engla Ingwall介绍，她所在的ICA超市的冷冻设备大约从凌晨两点开始遭到攻击，数小时后才被发现。她向路透社（Reuters）表示，设备温度达到50℃，食品库存遭到损毁。等到数字层面的篡改被发现时，物理过程已经造成了损失。

11月2日当天，比利时、卢森堡和爱沙尼亚也陆续传出类似消息。在荷兰，Danfoss向NOS证实，至少17家企业受到影响，其中包括小型食品商店和一座冷冻食品仓库。三周前，法国已有数百家商店遭遇类似攻击。截至本文撰写时，公开信息尚未明确这些事件是否由同一批攻击者所为。

但眼前的问题并不依赖于查明攻击者身份：一套原本用来制冷的设备，为什么会变成热源？答案就在一项为正常运行而设计的功能中。

机器执行了指令，只是听命于错误的人

制冷设备的蒸发器上可能结冰。为了维持有效的热交换，需要定期清除这些冰层。根据设备设计，除霜可能通过暂停制冷来完成，也可能通过电加热元件或高温制冷剂主动输入热量。因此，制冷设备本身就有产生热量或有意引入热量的能力。在正常的除霜周期内，这并不是故障。

决定性因素在于持续时间、执行顺序和限制条件。在比利时的事件中，制冷服务商Sabcobel称，蒸发器被远程切换到了除霜模式。攻击者不需要创造新的机器功能，而是滥用现有功能，让设备做出了与其本来用途相反的事。

冷藏展示柜的背后，往往存在一整套分层控制体系。本地控制器与传感器、阀门协同工作，上层系统管理器则汇集信息并支持远程管理。Claroty研究的Danfoss AK-SM 800A配有嵌入式Web界面，可用于管理温度限值、运行日程、报警和用户账户等。这省去了技术人员到现场维护的奔波，也让任何拥有相应访问权限的人获得了相当大的控制能力。

这类系统属于运营技术，即OT（Operational Technology）：用于监视或影响物理过程的技术。在这里，一条指令不只是修改一条数据记录，它还可能决定阀门、电机或加热器接下来如何动作。

恶意改变工艺过程，并不一定需要接管操作系统。只要获得足够的操作权限，就可能做到这一点。在面向工业控制系统的ATT&CK框架中，MITRE将这种攻击模式描述为“Modify Parameter”（T0836）：被修改的运行参数会让原本正常工作的控制器执行不符合预期的一系列操作。不过，仅凭这一点，不能判断这些事件中是否还使用了恶意软件。

这种区别至关重要。只寻找恶意文件，可能会漏掉恶意控制操作。指令在形式上可能有效，软件也可能正确处理了它，设备却仍然做了错误的事。绿色状态指示灯只能说明它实际监测的对象处于什么状态。“系统正在运行”不等于“过程处于受控状态”。

那些令人震惊的温度数字，同样需要准确理解。设定值、蒸发器温度、空气温度和商品温度不能混为一谈。将温度设定改为50℃，并不能证明食品本身达到了这个温度。爱沙尼亚一家受影响门店的情况说明了这一点：虽然设定值为50℃，但据报告，实际温度的升幅很小。关键在于响应速度。

绕过企业IT防护的侧门

通往制冷系统的路径，不一定经过企业的中央网络。ICA表示，受影响门店的相关连接在该网络之外运行。这并不构成完整的数字取证结论，但它解释了为什么即便企业IT系统受到专业保护，也不会自动保障每家门店的所有维护入口。

一套设备即使与收银网络隔离，也仍可能保留一条未受保护的对外连接。英国NCSC明确提醒，应注意服务商可能安装的额外通信路径，例如其自行设置的蜂窝通信连接。只检查企业已知的网络连接，就可能漏掉这些入口。真正重要的是通往控制器的实际连接，而不是某个团队的职责在哪里结束、另一个团队的职责又从哪里开始。

Claroty的Team82通过一次检索发现，所研究平台上有2,765台设备可从公网访问，展示了这种攻击面的潜在规模。这只是某一时点的暴露状况，并不是一份已遭入侵的超市名单。但它否定了一种令人安心的假设：这些管理界面总是藏在封闭的企业网络深处。

关于荷兰事件，目前的报道更倾向于表明防护措施不足，而不是遭遇了某种未知的高科技攻击。Danfoss的一位发言人告诉NOS，受影响系统使用了默认密码，也没有通过受保护的网络连接。该发言人称，法国事件发生后，厂家就已建议不再将设备直接暴露在互联网上。这是厂家的说法，并非对每起个案的独立还原。

产品本身也存在已记录的漏洞。对于AK-SM-8xxA系列，Danfoss将CVE-2025-41450列为影响4.2之前版本的身份认证问题。对于4.3.1之前的版本，CVE-2025-41451涉及在操作系统层面执行命令的可能性，而CVE-2025-41452涉及可被篡改的Web服务器配置，可能导致拒绝服务。后两项漏洞的前提都是已成功通过身份认证。

Team82还描述了一种名为“Code of the Day”的替代登录机制，它可能绕过正常的登录流程。根本问题在于：即便管理员密码足够强，也无法防住额外访问机制中的所有缺陷。

所审阅的公开资料不足以确定，这次攻击究竟利用了上述哪些漏洞，甚至是否利用了其中任何一个。不同产品系列也不能混为一谈：CERT-FR列出了Danfoss的AK-SM和AK-SC系统，以及Copeland和Dixell的XWEB系统。因此，单个CVE不足以解释所有事件。

还有一个在卖场里看不见的问题：设备老化。据厂家介绍，旧款Danfoss AK-SM 800已于2021年5月达到产品生命周期终点。2025年10月，Danfoss再次确认相关旧产品的支持已经结束。这款系统管理器不等同于较新的800A平台。新平台的更新版本，不能直接套用到所有旧设备上。

即使数字控制器已不再获得支持，设备的机械部分也可能继续工作。此时，“还能制冷”描述的只是当前功能，而不是维护入口的安全状态。

攻击者已经登录之后，还能用什么阻止他们？

第一道防线应当部署在管理界面之前：不直接暴露在互联网上，采用安全的远程访问方式，为每位用户分配独立账户，并尽可能使用抗钓鱼的多因素认证。CERT-FR和NCSC也建议采用这种做法。它能增加初始入侵的难度。但具备韧性的架构随后还必须回答第二个问题：攻击者通过一个已被攻陷的访问入口，究竟能做什么？

身份认证负责核验凭据。授权负责确定某个账户可以执行哪些操作。运行参数校验则必须确保，一项被允许的修改不会让过程超出获批的运行条件。这三项职能不能互相替代。因此，MITRE既建议采用基于角色的修改权限，也建议在控制逻辑中直接校验传入的数值。

对制冷系统而言，这意味着一个有权请求启动除霜周期的维护账户，不应自动获得修改所有除霜限制条件的权限。查看运行状态、执行常规控制操作，以及修改保护设置，应当需要不同的权限。一把能打开所有门的万能钥匙，会将单一用户身份失陷造成的问题大幅放大。

这些限制并不是抽象概念。例如，Danfoss AK-CC 750控制器的文档就描述了基于温度和时间结束除霜的条件。这并不能证明受影响门店使用了该控制器，却表明了技术审查应该追问什么：有哪些限制，在哪里强制执行，谁可以修改？

仅仅逐个检查数值是否处于允许的范围内，并不总是足够。稳健的保护策略还需要考虑持续时间、重复频率与设备状态之间的相互作用。适用的运行边界，应以厂家和系统工程设计规定的限值为准。浏览器中的输入表单不足以构成安全边界：校验必须在控制器真正接收和处理修改的位置生效。

同样重要的是，这些保护措施被设计为能够承受何种程度的失陷。操作员账户遭到滥用，与控制器被完全接管，是不同的情形。本地软件检查可以限制低权限账户所能执行的操作。但如果攻击者同时控制了软件或其保护配置，就可能连这项检查本身也一并修改。对架构审查而言，结论很清楚：保护措施必须在所考虑的攻击情形下保持独立，而不只是组织架构图上的独立。

更深一层的问题，是保护功能是否真正相互独立。如果同一个管理入口既能改变过程，又能取消其限制，这两项功能就不能算作独立的保护层。如果还能修改报警行为，攻击者也可能通过同一个被攻陷的入口延迟被发现的时间。NIST明确警告，OT系统中的控制功能与保护功能可能存在隔离不足的问题。

对制冷系统而言，由此可以得出一个清晰的审查标准：额外温度监测尤其有价值的情形是：其配置和报警传输路径不完全依赖于同一套管理系统。两个共用同一个可被攻陷的管理界面的传感器，本身并不能构成两个独立的保护层。报警也不能替代强制实施过程限值的控制机制：它首先只是向相关人员发出问题提示。

这也解释了只从网络角度考虑安全的局限。防火墙可以将连接限制到特定端点和服务，但这并不意味着通过允许连接执行的每项控制操作都是恰当的。对命令进行更深入的检查，需要理解相应协议并能够访问其内容。加密保护的是传输中的数据，而不是证明所传指令在运行层面是正确的。

公开报道没有完整说明受影响设备具备哪些保护措施，或者哪些措施失效了。但架构层面的问题依然明确：远程访问能够触发什么功能，其后的哪一道保护还能阻止危险的操作序列？加强网络分段，有助于阻断未经授权的通信路径。要防范危险但权限上获准的控制操作，还需要适当的权限设置和过程边界。

仍有机会避免损失的那几分钟

在爱沙尼亚，那一夜有了不同的结局。攻击者访问了一套旧系统的控制计算机，导致一家Selver门店受到影响。服务商表示，他们在约十分钟内作出了响应。据其介绍，实际温度仅上升了2至3℃，没有食品受损。Selver表示，这是最后一家尚未部署较新系统的门店。

十分钟并不是普遍适用的安全余量。这个案例说明，攻击者获得访问权限之后，响应时间可能有多么关键。计划必须覆盖完整的响应链条：发现偏差、作出评估、进行决策，以及有效干预。所有步骤都必须在具体过程尚允许的时间窗口内完成。如果无人负责响应，或无人能够采取行动，即时报警也没有多大用处。

因此，应尽可能在商品出现明显损失之前就发现异常。夜间除霜本身并不可疑。相比之下，如果一项修改来自非预期来源、超出获批的运行范围，或者与已确认的维护工单不符，就更值得警惕。MITRE建议将此类观察结果与后续过程数据关联起来。重要的不只是新数值，还有设备之后究竟做了什么。

对制冷系统而言，值得调查的迹象可能包括异常的除霜时长、被修改的报警阈值，或多台设备同时出现偏差。这些只是可能的检测思路，并不是对这轮攻击的还原。运行背景也有助于减少误报：获批的测试，应与无法解释的修改区别评估。但安排了维护窗口，不应成为不加审查地忽略该时段所有活动的理由。

日志必须支持这种比对。有用的记录应能标明使用的账户、受影响设备、修改内容及发生时间。如果信息可得，修改前的数值和关联维护工单也应能够与修改记录对应起来。这体现了NCSC强调的原则：日志记录应服务于具体的检测目标，而不是单纯堆积数据。只有在损失发生后才查看的日志，算不上及时预警。

接下来，还必须有人能够中断这一过程。NCSC建议制定并测试隔离方案：可以阻断哪条连接？哪些功能必须继续在本地运行？远程维护不可用时，服务商如何接管？正确的响应不一定是切断整套设备的电源，而应保护人员安全，并使过程进入预先定义、可控的状态。

方案还必须明确，隔离后仍保留哪些观察设备状态的能力。如果断开远程维护时，不慎切断了唯一的报警通道，值班团队就会失去自己最需要的反馈。因此，测试的不仅是能否关闭访问入口，还包括负责人之后能否继续判断对策是否生效。

这里有一个容易被忽略的区别：网络隔离不会自动撤销已经被修改的设置。它可能阻止后续访问，而设备仍按照被篡改的参数继续运行。因此，专业人员不但要检查访问路径，还要核实实际运行状态和配置。“已经无法连接”并不比“又能运行了”更能证明危险已经解除。

在不会造成额外风险的前提下，应在重置之前保全相关日志和配置。不过，证据保全不能延误必要的保护措施。恢复制冷本身并不等于安全事件已经解决：CERT-FR明确警告，不应只是重置存在漏洞的旧设备，然后又毫无防护地将它们接回互联网。这样做可能让原有弱点继续存在。

因此，恢复工作不只是成功重启。配置必须符合获批的基准，物理过程也必须重新在规定的运行范围内运行。仅安装新固件，并不能证明过程已回到这一范围之内。要结束事件处置，需要同时完成技术验证和运行验证。

准备工作因而不只是技术问题。在事件发生前，运营方与维护服务商就应明确：夜间谁有权阻断访问，谁负责在现场接管设备，以及谁负责更新或更换。外包维护不会消除这些责任，反而让明确约定各方职责变得更加重要。

下次站在冷藏展示柜前时，你首先看到的是食品。在它们背后，则是一条由传感器、软件、权限和决策构成的链条。安全问题不仅是设备保存了哪些数据，还包括它获准对周围环境作出什么改变，以及谁能及时介入，阻止它执行错误的操作。

在厄兰岛，一摊积水让事件显现出来。在爱沙尼亚，运营方表示食品没有受损。真正的安全挑战，就在这两种结局之间：在损失暴露攻击之前发现它，并在攻击者获得访问权限之后，仍保有有效的保护措施。

备份可以恢复配置，却无法挽回那些缺乏充分制冷的时间。

网络攻击不一定要摧毁机器。有时，只需要让机器做错事，就已足够。