法国超市冷柜一夜变“烤箱”：黑客没偷一条数据，只是把温度调高了

当地时间10月11日深夜，法国数百家超市的冷柜在打烊后开始“自我加热”。制冷设备都有除霜功能：短暂升温化霜后恢复制冷。这个夜里，除霜没有停下。据新华社10月13日援引法国商业调频电视台报道，黑客利用制冷控制系统漏洞远程发动攻击，把冷柜温度设定在50摄氏度，设备连续加热了好几个小时。第二天早上店员开门，看到化了一地的冰淇淋和整层报废的生鲜，据报道部分门店还因高温起火。

从保鲜到“烘生鲜”，几百店一夜同时中招

攻击覆盖法国几大零售集团。据法新社统计，火枪手集团旗下至少300家Intermarché及Netto门店、100多家U合作社门店遭袭，家乐福确认80家超市受影响，Monoprix约30家中招，E.Leclerc称自家制冷供应商遇袭波及数家门店；央视网的报道口径更是达到约700家超市。数字略有出入，但受损的都是最不能见热的东西。

损失先摊在食品上。新华社援引报道称，全国范围的初步损失估计可能高达数百万欧元；Intermarché方面称单日损失或达数千万欧元；法国商业调频电视台举例说，仅阿尔萨斯地区两家门店的损失合计就有27万欧元。成车的冷冻食品被倒进垃圾箱，有门店的自动喷淋被高温触发，货损之外又添水损。U合作社负责人在社交平台直言，针对食品保鲜设备的攻击“史无前例”，不可接受。

漏洞一年前就被警告过，补丁发了，没人打

黑客怎么够到一台冷柜？据多家外媒报道，此次攻击利用的是丹麦企业丹佛斯提供给商超的制冷控制系统中控制面板的漏洞——这类面板本可以通过互联网远程访问，方便维保公司随时调温。据国内技术分析报道，网络安全研究团队早在2025年3月就公开披露了丹佛斯AK-SM 800A控制器的身份验证绕过漏洞，同年8月又公开了两个高危漏洞，厂商随后发布了固件更新。

丹佛斯在事发后的回应是：受影响的设备“运行的是过时的固件”，很多型号已经生命周期终止、不再接收安全更新，公司“长期以来一直建议”客户保持系统更新。翻译过来就是：补丁一年前就发了，没装的自己承担后果。网络安全公司Censys统计，事发后暴露在公共互联网上的丹佛斯控制器从约3700台骤降约71%，只剩约1100台——攻击发生前，几千台制冷控制器直接挂在互联网上，不少还留着默认密码。

比利时网络安全中心在10月13日发布紧急警告，要求所有使用这类制冷管理系统的组织立即把设备撤下公共互联网、改走安全的VPN接入、更新固件、修改默认密码，并特别提示“攻击行动可能仍在进行中”。据路透社等调查，不止丹佛斯一家，Copeland和Dixell的同类联网控制系统同样有漏洞。西班牙、葡萄牙、波兰、德国、比利时也报告了类似情况。

不偷数据、不勒索赎金，图什么？

这起攻击最反常的地方在于动机。以往的网络攻击，要么偷数据，要么锁系统勒索赎金；这一次，黑客没有碰收银系统，没有拿走顾客信息，也没有留下勒索软件，只是远程把温度调高，让设备自己加热几个小时。截至发稿，没有任何组织宣布对此负责，也没有人落网。巴黎检察官办公室已立案调查，法国总理勒科尔尼的助手证实，总理已指示法国国家信息系统安全局（ANSSI）展开调查并与欧洲多国协作。

攻击目标从“信息资产”转向“实物供应链”，这最让行业脊背发凉：不偷你的钱，但让你亏钱；不黑你的电脑，但让你的设备自己毁掉自己的货。几乎同一周，美国AI公司Anthropic发布研究报告警告，AI模型理论上可把自己复制到低功耗物联网设备——电视、冰箱、烤箱、扫地机器人——并在未经授权时控制它们。同期，荷兰零售巨头阿霍德德尔海兹多家超市网站与物流故障，比利时、卢森堡部分门店也报告安全问题，暂无证据与法国事件相关联——但欧洲零售联网设备的暴露面已足够触目。

回到自己家：冷柜变不了烤箱，但逻辑是同一套

家用冰箱几乎不提供“远程升温”的接口，超市那一幕不会原样发生。但把这次攻击拆开看，成立的条件是三条：联网的控制面板、没换的默认密码、不再接收更新的老设备。这三条，在很多中国家庭里同样凑得齐——多年没更新固件的智能摄像头、路由器，还在服役的旧型号扫地机器人、智能音箱，以及各类联网插座和门锁。据10月22日国内科技媒体统计报道，今年消费者对智能家电的抱怨集中在升级异常、数据上传和停服几类：有用户质疑自家联网洗衣机19个多小时上传了400多MB流量，企业回应称只是状态同步，但相关功能无法关闭。对家庭用户来说，风险未必是“冰箱被烤”，更多是隐私泄露、设备被遥控，和停更停服后设备悄悄失去防护。

值得记住一个时间点：《智能家用电器质量安全风险分类评价指南》国家标准将于2027年2月1日正式实施，把智能家电安全风险划为电器安全、功能安全、信息安全、数据与隐私保护四大类，网络入侵、系统漏洞等数字化风险第一次被纳入可量化的评价。监管层面已经承认：智能家电的安全不只是用电安全，还包括网络安全。

在国标落地之前，普通家庭现在就能做四件事：第一，改掉智能设备和路由器的默认密码与默认管理地址，安装师傅留的账号要拿回控制权；第二，关掉不用的远程直连和UPnP自动映射，家用设备走官方App接入即可；第三，门锁、摄像头、联网家电保持官方自动更新，别刷第三方固件，没人维护的“生命周期终点”旧设备单独放进访客网络，或直接断网降级使用；第四，设备无故升温、半夜乱动、流量异常，先断网，再找官方售后。

法国数百家超市的冷柜已陆续恢复，部分门店在重新联网前选择了再等一等。眼下，巴黎检方的调查还没有公开结果，ANSSI的通报没有落地，攻击者仍未现身。给自家摄像头换掉默认密码这件事，不必等到下一场新闻刷屏。