# 法国超市冷柜被黑后，316 个管理后台还挂在公网上 **Summary:** IPinfo 10 月 14 日扫描时，法国仍有 316 个制冷设备管理后台能从公网访问。比起打补丁，我更在意维护合同里谁来决定谁能连进来，以及出事时谁能把这条连接关掉。 - Canonical: https://markhuang.ai/zh/news/france-fridge-hack-316-dashboards - Language: zh-CN - Author: [Mark Huang](https://markhuang.ai/about) - Published: 2026-10-20 - Section: News - Tags: 超市制冷, Danfoss, 运营技术安全, 远程维护, IPinfo, CERT-FR - Source: [IPinfo](https://ipinfo.io/blog/france-fridges-hack) - License: https://creativecommons.org/licenses/by-nc/4.0/ --- ![一台打开的制冷设备检修柜，网线朝镜头方向垂出，旁边是超市的冷冻货架通道](https://cdn.markhuang.ai/news/france-fridge-hack-316-dashboards/hero.webp) *远程维护得有一条连接，但公网能不能连到控制器，是另一回事。示意图。* 2026 年 10 月 11 日到 12 日夜里，攻击者扰乱了法国超市的制冷系统。事发之后，[IPinfo 的扫描数据](https://ipinfo.io/blog/france-fridges-hack)里，大部分暴露在外的管理后台都不见了。但 10 月 14 日复扫时，同样的地址上仍有 316 个在线。10 月 6 日和 7 日，它一共识别出 1,331 个法国后台。316 个是公网地址，不等于 316 家门店被攻陷。 这个结果让我想到另一个问题：这条维护连接归谁管？更新控制器当然重要。但我也希望有人明确负责两件事——决定谁能连上它，以及在出事时关掉公网入口。制冷承包商能不能远程帮忙，不该取决于管理页面是否一直对公网开着。 维护合同让这个决定变得更麻烦。[CERT-FR 的警报](https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/)建议把这些后台从公网撤下来，但同一份警报也提醒运营方，在切断发给制冷承包商的数据之前先核对保险条款。所以我的结论是：在下一次事故之前，就把安全访问和紧急断开的办法写进维护合同。 ## 暴露不是那一夜才开始的 [ABC News 转载的路透社报道](https://www.abc.net.au/news/2026-10-13/french-supermarkets-hacked-causing-fires-and-food-loss/107258724)提到，攻击者调高冷柜温度后，超市不得不扔掉食物。报道还引用巴黎检察官办公室的说法，提到食物损失和起火。受影响的不只是冷柜里的食物，还有那些得亲手把这些东西清掉的工作人员。 IPinfo 补上的是那晚之前的历史。在攻击前识别出的 1,331 个法国后台地址里，有 1,019 个在 3 月 30 日还能从同一地址连上。前后大约半年，它的扫描里一直有这么一批暴露的管理界面。同一个地址被扫到两次，也不代表这中间它一直开着。即便有这个限制，我也很难把这批暴露解释成一次短暂的配置失误。 IPinfo 通过界面指纹和软件版本信息判断，85% 的法国后台跑的软件都有已知安全缺陷，其中 527 台是已停止支持的旧控制器。这些数字量的是暴露规模，补丁状态则只是推断。IPinfo 明确说明，扫描无法确认攻击者用了哪个漏洞、是谁动的手，也无法确认哪些门店被攻陷。 ## 补丁回答不了“谁能连进来” 法国以外的后台里，84% 被归为存在已知缺陷，比例和法国差不多。法国的暴露后台数量，比 IPinfo 统计里其他所有国家和地区加起来还多。我不太愿意把这件事讲成“法国人不爱打补丁”。数据说得更清楚的，是暴露在外的设备实在太多。 要追问的对象也不只是门店。[Claroty 对 AK-SM 800A 的研究](https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers)记录了一种备用认证机制，能绕过已经设好的管理员密码，另外还有其他漏洞。研究提到 Danfoss 已经发布固件修复。这能说明产品本身有安全问题，但不能说明这次攻击走的就是这条路。 我希望补丁和访问控制各有明确的责任人，也要分开检查。把现有补丁都打上，也说明不了管理界面是否还接受任何来源的连接；把访问限制了，也不代表一台停止支持的控制器从此就有人管。已经拿不到修复的设备，就算关掉了公网入口，也还得有个更换计划。 ## 远程维护有它的用处，不该被一起关掉 [Hacker News 的讨论](https://news.ycombinator.com/item?id=50159616)里，有人主张把控制器彻底隔离，也有人问制冷设备为什么非得连公网。公网管理界面不该开着，这点我同意。但对后一种说法，我不太认同。Claroty 介绍的那套平台，本来就是给技师远程看制冷状态、查警报、改设置的。门店和承包商保留这些功能，有很实际的理由。 CERT-FR 把这个区别讲得很清楚：要恢复访问，走安全 VPN 或者受保护的网络。只允许承包商的 IP 地址连进来，是应急手段，不是长期方案。针对 Danfoss 设备，它的建议还包括升级固件、启用 Strict security mode、修改默认密码。 保险那条警告很容易被误读。CERT-FR 并没有说保险要求后台必须能从公网访问。它的意思是，在中断向承包商上报数据之前，先核对合同条款。我会让门店和服务商事先约定一条受保护的访问通道，再约定远程连不上时怎么继续监测。这样连接原本的用处还在，也总有人有权把它关掉。 ## 这 316 个地址，应该进跟进清单 暴露数量降下来，我当然高兴，但不会把它当成恢复的证明。就连 IPinfo 归为“已知修复全部到位”的那批后台，同一批地址上的数量也从 195 个降到 54 个。IPinfo 把这理解为设备被断开了，而不是单纯打了一轮补丁。某个后台从这些 IPv4 扫描里消失，并不能证明运营方修好了系统，也不能证明它堵住了其他所有访问入口。 如果是我去买制冷维护服务，我会要一份清单：每台控制器是什么型号、还能不能拿到支持、远程访问由谁负责。我还会问，出事时谁有权撤销这条访问，以及访问断掉期间员工怎么盯温度。这些都是我提的要求，不是我已经在受影响系统上做过的检查。 CERT-FR 还提醒正在处理疑似入侵的运营方：设备暴露在外、又没有安全补丁，光靠恢复出厂设置不够，漏洞还在。我会和制冷承包商一起按它的处置建议走，而不是看到后台能打开就觉得事情结束了。 扫描数据停在 10 月 14 日，今天这 316 个地址还剩多少暴露在外，没人知道。但下次复核维护安排时，我可以直接问一句：服务商能不能证明，远程维护仍然能通过受保护的通道完成，而控制器对公网的那条路已经关上？