法國超市冷鏈受駭：停更控制器如何變成營運風險

圖片：TechLab 自製資訊圖

TechLab 編輯部（譯）·2026-10-13

法國多家連鎖超市的冷凍及冷藏設備近日遭網絡攻擊，控制系統被遠端啟動除霜程序，部分設備溫度一度升至攝氏 50 度，肉類、冷凍食品及蔬菜因而報廢。iThome 報道指出，受影響者包括 Intermarché、Carrefour、Monoprix、Leclerc 及 Coopérative U，法國政府已要求國家資訊系統安全局（ANSSI）調查。

這宗事故有一項重要限制：外界暫未確認入侵者如何進入系統，也未能證實攻擊者是否利用已公開的漏洞。將事件直接歸咎於某一個漏洞並不準確；不過，iThome 報道所披露的設備停更、舊韌體及可能直連互聯網等情況，已足以說明冷鏈控制器一旦被納入企業網絡，資安問題很快會轉化為食安、存貨與門市營運問題。

從溫度異常到貨品報廢，工控事故為何影響特別大

冷凍與冷藏系統的控制器負責讀取溫度、發出警報、執行除霜，並容許管理人員遙距操作。這些功能原本是為了降低巡查成本及加快維修反應；但當未授權者取得控制權，同一套遙距能力亦可被反向使用，改動設定或在不合時宜的時間啟動程序。這次事故顯示，設備本身即使沒有停機，貨品保存條件已可在數小時內被破壞。

按 iThome 引述 Bloomberg 及 Reuters 的資料，Intermarché 約有 150 間分店受影響，異常情況持續約 6 小時；Carrefour 確認 80 間超市受波及，Monoprix 約有 5% 門市受影響。Intermarché 行政總裁 Thierry Cotillard 估計，攻擊單日可帶來全法國數以千萬歐元計的損失。數字仍有待調查釐清，但營運上的含意已很明確：冷鏈並非只是一組後勤設備，它連接採購、倉存、報廢、清潔、補貨及食安紀錄，事故成本會跨越 IT 部門。

停止更新的控制器，留下的不只是已知漏洞

攻擊涉及 Danfoss 的冷凍及冷藏控制系統。iThome 報道指出，Danfoss 向法國業界媒體表示，多數受影響裝置為已停止軟件及安全更新的 AK-SM800 與 AK-SC355 控制器，另有部分 AK-SM800A 使用過時韌體；該公司正協助客戶更新韌體、加強網絡防護，並避免讓設備直接暴露於互聯網。

這裏的核心風險不宜簡化為「舊設備必定受駭」。停更產品未必代表已被攻破，但一旦廠商不再提供修正、設備持續對外提供管理介面，企業可用的補救空間會愈來愈窄。即使沒有新披露的漏洞，弱密碼、預設密碼、過時設定或舊式通訊協定，也可能成為入侵入口。對營運方而言，設備仍可正常製冷，往往掩蓋了它已不再符合現時安全要求這個事實。

Claroty 旗下 Team82 曾在今年 8 月公開 AK-SM 800A 控制器的三項安全問題，涉及身分驗證繞過、命令注入及 Nginx 設定注入；iThome 指出，這些問題理論上可讓攻擊者遙距執行程式碼或發動阻斷服務攻擊，而 Danfoss 已在 2025 年 8 月透過韌體更新修補。不過 Team82 同時表明，尚未知道法國事故的實際入侵手法，因此不能判定三項漏洞與今次攻擊有直接關係。這個區分相當重要：修補已知弱點是必要措施，但不能取代對帳號、網絡暴露面與裝置設定的整體檢視。

管理冷鏈 IoT，先處理可見度與隔離問題

對擁有冷庫、冷櫃或樓宇監控設備的機構，首要工作是建立可核對的資產清單：每一部控制器的型號、位置、韌體版本、支援狀態、遙距連線方式，以及誰可管理它，都應可被追溯。這類清單不能只放在採購紀錄；營運、工程、IT 及資安團隊需要以同一份資料判斷，哪些設備仍獲原廠支援，哪些已進入更換或隔離的優先隊列。

其次是收窄遙距管理的入口。若維護工作確實需要外部連線，較合理的做法是透過受控的企業入口、分權帳戶及多重驗證處理，並限制可連接的來源和時段；管理介面不應為求方便而直接公開於互聯網。控制器亦應與收銀、辦公室及其他一般用途系統分隔，並保留足以追查設定變更與異常登入的紀錄。這些做法未必可消除所有風險，卻能減少單一帳密或單一裝置被攻破後橫向擴散的機會。

最後，更新不應只理解成安裝最新韌體。機構需要先安排維護窗口、測試更新對現場控制邏輯的影響，並為無法更新的舊型號設定替代計劃，例如移除外網可達性、額外網絡分段、限制帳戶權限或訂立退役日期。溫度告警也應有獨立的通知與升級程序，避免控制平台同時失效時，現場人員完全看不到異常。

iThome 報道又引述 Sekoia 研究員 Félix Aimé 稱，法國以外的西班牙、葡萄牙、波蘭、德國及比利時亦有 Danfoss 客戶受影響。事件後續值得觀察的，將是調查能否釐清初始入侵途徑，以及受影響企業會否把冷鏈控制器由「可遙距管理的設備」提升為需要持續盤點、分段和更新的關鍵營運資產。