欧洲八国超市冷柜遭第二波远程攻击，冷柜被调到 50°C 生鲜成批报废
欧洲八国超市冷柜遭第二波远程攻击，冷柜被远程调到 50°C，生鲜成批报废；CERT-FR 10 月已发警报，无人认领、不勒索，属纯破坏。
11 月 1 日深夜到 2 日凌晨，比利时、瑞典、爱尔兰、爱沙尼亚、荷兰、芬兰、葡萄牙、意大利八个欧洲国家的超市冷柜与冰柜被人远程改动设置：有的被切到除霜模式，有的直接把目标温度调到 50°C，生鲜与冷冻食品成批报废。这是继 10 月 12 日前后法国第一波攻击（多达 700 家超市受影响）之后的第二波。受影响的多为 Danfoss AK-SM 800、AK-SC 355 这类已停更的旧款制冷控制器，部分网点还有 Copeland 与 Dixell 的 xweb 设备。截至 11 月 2 日晚，没有任何人认领，也没有勒索——这是冲着破坏来的。比利时联邦检察院已刑事立案。
要点
- 八国受影响：Delhaize 数十家店、Carrefour 比利时约 15 家（全网 700 多家）、爱尔兰 SuperValu 13 家（共 223 家）、瑞典 Coop 6–7 家（约 800 家），荷兰至少 17 家多为小型肉铺与便利店（The Guardian、The Hacker News，2026-11-02/03）。
- 攻击方式：比利时部分设备被切到除霜模式升温，瑞典 Sjöbo 一家 ICA 与爱沙尼亚一家 Selver 的冷柜被直接设到 50°C；技术人员从凌晨 1 点起上门断网处置。
- 法国 ANSSI 下属 CERT-FR 早在 10 月 12 日就发布警报 CERTFR-2026-ALE-012（10 月 16 日更新），点名的受影响系统正覆盖 Danfoss AK-SM/AK-SC、Copeland xweb 与 Dixell xweb，并写明「攻击很可能仍在进行」。
背景
法国是第一波的现场。10 月中旬，法国多间连锁（Intermarché、Coopérative U、Carrefour、Leclerc、Monoprix）的制冷控制系统被接管，冷柜目标温度从 -27°C 一路被调到 50°C 以上，全行业损失按当时报道以千万欧元计，单店从几万欧元到超过 13 万欧元不等；巴黎检察院随后立案，法国总理责成 ANSSI 调查。多数设备来自丹麦 Danfoss，公司自己的说法是相关缺陷在一年前就已确认、并长期建议客户安装更新。CERT-FR 的警报 CERTFR-2026-ALE-012 于 10 月 12 日发出，13 日补充了 Copeland xweb 与 Dixell xweb，16 日更新处置建议——第二波发生在警报发出约两周之后。希腊媒体早前把第一波归到「快科技」的转载，这类二手来源本条目弃用，以 THN、Reuters、Guardian 与 CERT-FR 原文为准。
事实部分
第二波的受害面，按媒体与涉事公司自己的通报大致如下：
| 国家 | 受影响零售商 | 规模 | 现象 |
|---|---|---|---|
| 比利时/卢森堡 | Delhaize、Carrefour、Intermarché、Colruyt、Spar、IKEA Mons | 数十家至 15 家不等 | 蒸发器被切到除霜模式；霍夫一家肉铺冷柜升到 18°C |
| 瑞典 | Coop、ICA | Coop 6–7 家；ICA 称「少量门店」 | Sjöbo 一家 ICA 冷柜被设到 50°C |
| 爱尔兰 | SuperValu（Musgrave） | 223 家中的 13 家 | 特定型号制冷设备，冷藏冷冻品全部下架 |
| 爱沙尼亚 | Selver | 1 家（旧系统最后一店） | 冷柜被设到 50°C，约 10 分钟内温度升 2–3°C 即被纠正 |
| 荷兰 | 未具名商户 | 至少 17 家 | 多为肉铺与小店，NOS 报道 |
| 芬兰 | Kesko | 少量小型门店 | 正在核查类似问题 |
| 葡萄牙 | Intermarché/Mosqueteiros | 7 家 | 冷柜异常升温 |
| 意大利 | Coop/Radenza Group | 西西里至少 4 家 | 冷柜异常升温 |
设备与漏洞面的要点：CERT-FR 点名 Danfoss AK-SM 800、AK-SC 355 等 EOL（停止维护）型号，加上 Copeland xweb 与 Dixell xweb；法国的第一波之后仍有数千台控制器暴露在公网（Tributech 研究人员的估计，经 The Guardian 转述）。荷兰受害商户的设备「没有独立安全网络、用着默认密码」（The Hacker News 援引当地报道）。安特卫普省霍夫（Hove）的 De Laet & Van Haver 肉铺自报损失约 15,000 欧元。截至 11 月 2 日晚无人认领攻击、无人索要赎金；Danfoss 截至 11 月 3 日未发布自己的安全公告。比利时联邦检察院已确认刑事立案；比利时网络安全中心（CCB）表示归因尚不清楚，「可能永远查不清」。
各方说法
CERT-FR 在警报里的原话值得照录：对一个没有安全补丁的 EOL 设备（End of Life，停更）保持互联网暴露，「被入侵的概率极高」，只做恢复出厂设置「不够」——持久化被清掉了，设备还是会再次沦陷。Sophos 威胁情报高级总监 Rafe Pilling 对 The Guardian 给了两种解释：要么是国家背景的行为者借空货架传递信号、展示能力，要么是带有私人动机的独行黑客；他本人更倾向于前者，理由是空货架的心理冲击是目的的一部分。他也指出归因困难的直接原因：这次没用恶意软件，「就像戴着橡胶手套去拨开关」。欧盟委员会的口径是「蓄意破坏我们的食品供应链」。Danfoss 经比利时 VTM（Euronews 转述）的回应是：缺陷主要在过时的软件，受影响的是没有安装更新的客户。比利时制冷承建商 Moelans（经 The Hacker News 转述）补的是另外两件事：攻击者进入的是个别超市自己的系统，而不是承建商的系统；只发软件更新没用，改造安装环境「需要真金白银」。
编辑判断
这一波把 OT（运营技术）安全的教训摊开了：控制公网暴露、改掉默认凭据、给停更设备找替换，三件事在工厂里喊了多年，超市冷柜证明同样的账单会开到零售业头上。固件层面的滞后本站最近写过两回：EDK2 固件里藏了 16 年的 PXE 缓冲区溢出 同样停在「补丁发了、设备没更」，而 CISA 把 PHP2Shell 列入 KEV 目录 说明在野利用盯的就是这种窗口期。与 2021 年 Oldsmar 水厂事件（攻击者远程把水处理加药量调高）对照着看，模式是一致的——联网的控制系统、宽松的访问路径、物理后果；不同之处在于 Oldsmar 被值班人员及时发现了，而冷柜这波在八个国家同时得手。对自建基础设施的人，CERT-FR 的清单可以直接抄：管理接口不下公网、访问走 VPN、Danfoss 安全级别调到 Strict、改默认密码、查除霜计划表、升级固件。真正没答案的问题是动机：不勒索、不认领，把「入侵是为了钱」这个 IoT 安全模型的前提抽掉了一块——防勒索可以靠备份，防一个只想让你扔掉所有生鲜的人，靠的只有上面那份清单。
接下来
- 瑞典国家网络安全中心正与北欧及欧洲机构协同排查，并提示境内「有相当多暴露的 OT 设备」需要修补。
- 爱沙尼亚 Selver 称其最后一台旧系统设备已在本次事件后退役，其余已迁移新系统。
- 英国零售商正与 NCSC 协作核查暴露面；Forescout 的数据称英国不在暴露设备最多的前十个国家之列。