11月2日凌晨，瑞典、比利时、爱尔兰、爱沙尼亚、卢森堡等至少十个欧洲国家的超市运维人员发现异常：门店内冷冻柜、冷藏柜温度失控，部分门店的温控设定值被远程推高至50摄氏度，生鲜、冻品在短短数小时内批量报废。而就在三周前的10月11日至12日夜间，法国已有约700家超市遭遇完全相同手法的攻击，直接损失达到数千万欧元。
　　这一轮跨境攻击最震撼行业的地方，不在于黑客动用了多么复杂的病毒或者零日漏洞，恰恰是它的低门槛、低技术特征。安全厂商Sophos将其形容为“远程伸手拨动设备开关”：攻击者用扫描工具在公网上搜寻直接暴露的制冷控制器Web管理界面，凭借默认凭证登录，下发一条设备原生支持的指令，强制设备进入持续除霜模式、改写温控设定值。整个过程没有植入恶意代码，指令本身属于控制器的合法运维指令，常规IT安全系统很难识别告警。
　　丹佛斯官方确认，本次受冲击的主力型号是AK-SM 800与AK-SC 355。AK-SM 800在2021年5月停产，AK-SC 355更是早在2016年就进入淘汰周期，两款设备早已停止固件迭代、不再提供安全补丁。这些老旧控制器，本该随商超改造逐步替换，却因为成本、运维习惯、外包模式，长期留在欧洲连锁超市的冷链主干系统里持续运行，已知的安全缺陷被持续保留，最终成为跨境攻击的通用突破口。
　　一、冷柜怎么被“加热”的？黑客只下了一条除霜指令
　　整套攻击链路，完全贴合制冷行业远程运维的原生设计逻辑，这也是它隐蔽、难拦截的核心原因。
　　第一步是全网测绘扫描。攻击者用工具批量扫描公网IP，寻找丹佛斯StoreView以及谷轮等同类商超制冷控制器的管理页面。大量商超为了方便制冷服务商远程调参数、排查故障，直接把控制器4G模块、网口网关直连公网，没有防火墙隔离、没有VPN准入，等于把家门直接放在互联网上。
　　第二步是身份绕过或者默认密码登录。这批老旧控制器普遍存在出厂默认密码长期不改的问题，部分固件还存在认证绕过漏洞，甚至有基于日期算法的通用后门，攻击者不需要破解复杂密码，就能直接拿到管理员权限。
　　第三步是下发制冷系统原生指令，也就是强制持续除霜。很多人会误以为黑客是“关掉压缩机”，但单纯停机，冷柜依靠蓄冷还能维持一段时间低温。而商用制冷机组的除霜逻辑，是开启电加热管、暂停制冷循环。黑客远程锁死持续除霜状态，加热元件不断工作，冷柜内部温度被推高到50℃，长时间不可逆升温，生鲜快速腐败报废。这条指令，是控制器本身自带的标准功能，不是外来恶意代码，IT侧入侵检测设备很难区分是工程师远程运维还是破坏行为。
　　攻击还有一个特点：单点控制器往往管控一整条冷柜回路，一台AK-SM 800可以统一管理门店十几台冷藏冷冻设备。黑客拿下一台控制器，就能批量毁掉一整个区域的商品，攻击效率极高。

　　二、谁干的？至今没人认领，但专挑超市冷链下手
　　截至目前，欧洲多国网络安全机构还没有锁定攻击组织，也没有黑客团伙认领勒索，和常规勒索软件攻击有明显区别。结合行业与安全界的研判，大致有几种可能性。
　　第一种，是无特定目标的脚本小子、漏洞猎手批量刷网。这类攻击者拿到公开POC之后，用自动化脚本全网扫描同型号暴露设备，随机触发破坏，以“验证漏洞、制造影响”为目的，并不直接索要赎金。这也能解释攻击分批扩散、跨多国连锁爆发的特征。
　　第二种，供应链与行业施压。商超冷链是民生基础链路，针对食品零售冷链的破坏，会直接推高商超运营成本、冲击区域食品供给稳定。不同于攻击银行、能源设施，冷链攻击造成的是分散式、大面积的经济损失，追责难度高、溯源链条长，适合低烈度的扰乱行动。
　　第三种，也有业内提出，这是对OT工控领域防护空白的一次公开演示。IT安全体系发展多年，但制冷、暖通这类OT设备长期是安全洼地，攻击者用极低成本证明：民生基础设施的物理运行，完全可以通过改参数的方式被远程操控。
　　有一个关键细节可以区分它和普通勒索攻击：本次事件几乎没有出现加密服务器、索要比特币赎金的环节，破坏目标非常直接——物理损毁冷链内的货品。
　　（注：后续有亲俄黑客组织声称对多起制冷系统攻击负责，但欧洲多国官方尚未确认其归因。）
　　三、冷柜为什么防不住？制冷设备欠账太久
　　外人看这是一次网络安全新闻，但放在制冷暖通行业视角，它是行业发展模式积攒多年的矛盾集中暴露。
　　第一，设备生命周期管理和安全更新脱节。商用制冷控制器的传统逻辑是“耐用优先”，一台控制器稳定运行十余年在行业内十分常见。设备厂商的责任边界往往到停产为止，停产之后不再维护固件、不再修复漏洞。而商超方更换整套冷链控制回路成本高昂，单店改造要停机、清空冷柜，连锁企业改造几百上千家门店，投入巨大，普遍选择“不坏不换”。IT产品讲究定期打补丁，而OT制冷控制器，长期缺少强制退役、强制安全更新的行业规则。
　　第二，IT和OT两张皮，安全权责割裂。商超的IT团队管收银、会员、后台服务器；制冷系统交给第三方制冷维保商运维。很多企业的IT安全团队，甚至不知道门店里还有一批直接上网的温控控制器。维保工程师习惯随时随地远程登录调参数，为了省事，优先选择直连公网，很少配置VPN、白名单、访问审计。制冷运维追求便捷，安全流程被简化甚至省略，形成巨大盲区。
　　第三，行业设计之初，根本没有把“防恶意远程篡改”纳入需求。这类商用制冷控制器，诞生早期是本地面板操作，远程功能是后续叠加的增值功能，设计目标只服务于运维调试，默认登录者是可信工程师。它没有细粒度权限划分、没有操作二次确认、没有参数变更强告警。修改温度、开启除霜这种足以造成巨大损失的高危操作，登录之后一键执行。很多门店的温度报警还存在静默、延时，等到店员第二天上班发现，货品已经全部报废。
　　第四，保险、法规的配套跟不上冷链数字化。欧洲NIS网络安全法案更多聚焦能源、通信等关键基础设施，商超冷链的OT设备监管相对宽松；同时很多商业保险条款不覆盖“网络攻击导致生鲜变质”这类损失，事故发生后损失大多由连锁商超自行承担，企业主动投入安全改造的动力不足。
　　不止超市，这套逻辑同样适用于冷库、中央厨房、医药冷链、冷链物流仓。大量同系列、同架构的老旧制冷控制器在全球广泛部署，公开测绘数据显示，互联网上可被检索到的制冷管理网关数以千计，风险不是欧洲独有，国内不少老旧商超、冷库同样存在直连公网、默认密码长期不改的隐患。
　　四、制冷数字化，不能一味追求远程方便
　　《制冷快报》了解，这次事件给整个制冷行业的提醒非常清晰：远程运维是趋势，但便捷不能凌驾于安全之上。
　　短期可落地的防护动作，包括：禁止制冷控制器直接暴露公网，全部收进内网，远程运维走VPN+IP白名单；强制修改默认密码，高危参数变更增加二次确认、短信告警；梳理设备清单，标记已经EOL（生命周期终止）的老旧控制器，分批纳入替换计划；把OT制冷系统纳入企业整体安全巡检，IT和制冷维保团队建立联合审核机制。
　　长期来看，厂商需要改变OT设备的安全交付逻辑：不能设备停产就停止安全支持；在新品设计上，原生加入操作审计、异常参数风控、分级权限；而终端用户、工程商、维保方，也要建立一个共识——制冷控制器不只是硬件，是接入网络之后，可以直接影响实物资产、民生供给的基础设施节点。
　　当制冷设备从独立机械，变成联网工控终端，管理逻辑已经悄悄改变。未来的冷链安全，不止是压缩机不漏氟、冷柜能打低温，更要守住那一条看不见的网络控制线。