2026年11月2日凌晨，瑞典南部Sjöbo的一家ICA超市在社交媒体上发了一句话：“最坏的情况成真了。”冰柜的温度被人远程设到了50℃。几个小时后，店员把成箱的肉、冰品和冷冻食品拖出来，扔进店外的大容器里。
这不是孤立事件。同一個凌晨，瑞典、比利时、卢森堡、爱沙尼亚、爱尔兰、芬兰、荷兰至少七个国家的数十家超市报告了同样的故障：冷藏和冷冻设备的温度异常飙升，部分直接被锁定在50℃。比利时检方当天宣布启动刑事调查。
攻击分三步，没有一步需要“尖端技术”
新华网转载国家安全部披露的案例还原了这个过程，简单到让人不安。
第一步，扫描。攻击者用普通的网络扫描工具，在互联网上寻找那些“裸奔”的制冷控制器——设备直接暴露在公网，没有防火墙或VPN遮挡。第二步，绕过登录。利用温控系统已知的安全漏洞，取得管理员权限。第三步，发指令。攻击者向制冷设备发送了一条“合法”指令：强制启动除霜程序，温度设定值改为50℃。设备开始持续加热，直到食品全部变质。
一位瑞典店经理对着电视台的镜头说了一句很朴素的话：“我们调不了温度，改不了设置。热气往冰柜里灌，全毁了。”
被攻击的控制器，五年前就停产了
问题出在设备本身。
安全媒体The Record的报道指出，这次和10月法国那波攻击的目标，都指向丹麦制造商丹福斯（Danfoss）的制冷控制器。具体型号是AK-SM 800和AK-SC 355。AK-SM 800在2021年5月就走完了生命周期，AK-SC 355更早，2016年已经逐步淘汰。爱沙尼亚一位制冷设备商对媒体说得很直白：“所有连锁超市都在更新控制器，但有些地方的控制器又老又没更新过，现在被盯上的就是那些。”
丹福斯对这些老设备的策略是“硬性终止服务”。公司在2025年10月的一份通讯里解释过原因：继续支持这些旧产品，会让公司在新欧盟网络安全立法下承担“维持安全更新的新法律义务”。换句话说，停止支持，是为了规避继续支持的法律成本。
欧盟的新法律，管得了“报告”，管不了“修好”
2026年9月，欧盟《网络韧性法案》的部分条款生效。它要求联网硬件制造商报告正在被积极利用的漏洞，这个义务甚至覆盖了已经停止销售、但仍在使用的“寿命终止”产品。欧洲网络安全局ENISA确认，报告义务在产品失去支持后仍然适用。
但法案的另一半——修复漏洞、发布免费安全更新——只适用于产品“支持期内”。对于2027年12月11日之前投放市场、或者支持期已经结束的产品，“制造商不需要遵守漏洞处理义务”。
被攻击的这批丹福斯控制器，恰好落在这个豁免里。法律要求制造商告诉你“有人在用漏洞打你”，但不要求制造商把漏洞补上。比利时Sabcobel公司的技术人员在凌晨1点被叫醒，他们的处理方式不是打补丁，而是“把受影响的设备从电网上断开”。一位技术人员对媒体说，那些设备需要的是物理改造，不是软件更新。
美国军方也遇到过，但没有人认领
这已经不是欧洲超市第一次被冷柜攻击，也可能不是最后一次。
10月法国那波攻击，巴黎检察官办公室给出的受害超市数量是约700家，损失估计在数千万欧元级别，部分门店还发生了火灾。而在那之前，今年夏天，美国本土至少六处军事设施的食物冷冻设备也出现过类似的“集体故障”。五角大楼正在调查这些故障是否与欧洲超市攻击是同一手法。
但截至目前，没有任何组织声称对此负责，没有勒索信，没有数据窃取声明。The Guardian采访的安全研究人员给出了两种推测：某种国家行为体在展示能力，或者一个出于个人原因作案的独狼黑客。比利时检方的刑事调查和巴黎检察官办公室的调查都还在进行中，尚未指名任何嫌疑人。
瑞典国家网络安全中心负责人对路透社说了一句很克制的话：瑞典有“相当多暴露在外的操作技术设备”，需要更新或打补丁。他没有说的是，当这些设备连制造商都不再负责修补的时候，“需要更新”四个字落在一家超市经理的肩上，基本等于无解。
热门跟贴