Simplico
Security

冷冻柜黑客事件蔓延全球:各国政府最新建议,以及联网控制器场所的远程访问自查清单

November 11, 2026
冷冻柜黑客事件蔓延全球:各国政府最新建议,以及联网控制器场所的远程访问自查清单

我们第一次报道欧洲超市冷冻设备遭攻击时,没有任何组织宣布负责,也没有人被点名。一周后,情况已经不同。法国检方公开指控一个与伊朗伊斯兰革命卫队有关联的团伙。美国多个机构联合发布警示,新加坡和日本要求运营方检查自己的设备,泰国则要求部门监控威胁,并建议出口企业加强冷链安全。

幕后是谁,目前仍然只是指控,应当按指控来看待。技术层面的建议则不同:各国说法基本一致,而且适用范围远不止超市。只要维保商能通过互联网登录某台控制器,这台控制器就是你的攻击面的一部分,无论它控制的是食品冷库、冷水机组,还是工厂的加热设备。

本文梳理发生了哪些变化、各国建议的共同点,以及向冷库维保商和IT团队提出的8个问题。

相关服务
显示另外11项服务

变化一览

  • 规模比最初报道的更大。 巴黎检察机关表示,10月11日的攻击波及法国700家门店,造成大量食品变质,并引发约20起火灾。
  • 出现了点名的嫌疑团伙,但仍属指控。 检方称这次攻击是为外国势力(伊朗)实施的,并指向革命卫队的一个网络部队。依据包括攻击手法、波斯语的使用,以及可追溯到伊朗境内设备的IP地址。调查对象是名为"Shahid Kaveh"的团伙负责人和两名副手,未公布个人姓名。这些是进行中的调查中的指控,不是结论。IP地址的所在地本身并不能说明操作者是谁,相关报道未提及伊朗方面的即时回应,官员也没有说法国、比利时、瑞典和美国的所有事件都有关联。
  • 其他冷藏设施也遭到攻击。 另有一起针对法国多家血库的攻击。报道称产品和样本未受损,也没有把它与超市事件联系起来。
  • 美国于11月5日发布联合通告。 CISA、FBI、HHS、USDA和交通部指出,有攻击者利用未打补丁或可从互联网访问的制冷控制器,可迫使设备持续加热和除霜。通告还提醒"denial-of-view",即你看不到真实温度。
  • 亚洲也作出了反应。 新加坡SingCERT于11月6日发布通告,日本据Business+IT报道于11月9日发出提醒。泰国总理要求相关部门监控这一威胁,泰国国际贸易促进厅(DITP)则建议出口企业加强冷链网络安全。我们查阅的报道中,没有提到泰国的制冷系统遭到攻击。
  • 暴露面依然存在。 Forescout统计到12,976条暴露在互联网上的服务,涉及10个产品组,分布在99个国家和地区的6,017个公网IP地址上。此外,Forescout的Daniel dos Santos在Insurance Journal刊载的报道中表示,在11月2日事件之前的一周,仍有近5,000套Danfoss系统暴露在互联网上,可能存在漏洞。

各国建议的共同点

来源 日期 主要要求
CERT-FR(法国) 10月12日起 断开带有公网IP地址的控制器;核查配置后,仅通过安全VPN重新连接;IP白名单只是应急措施,不是长期方案。
CISA、FBI、HHS、USDA、DOT(美国) 11月5日 不要把控制面板暴露在互联网上;把OT设备放在专用VLAN;更改默认密码并使用抗钓鱼的多因素认证;更新并淘汰已停止支持的设备;用白名单限定谁能修改设置;保留离线备份;记录日志,并在设定值偏离时告警。
SingCERT(新加坡) 11月6日 盘点可从互联网访问的OT接口;使用VPN、多因素认证和IP白名单;打补丁;将OT与IT分离,监控远程访问和配置变更;制定经过演练的连续性预案,包括切换为手动控制。
国家网络安全办公室(日本) 11月9日 检查自身及承包商的设备能否从外部连接;更改默认密码并复核访问权限;确保温度异常会通知现场负责人。
DITP(泰国) 11月5-6日 面向出口企业:IoT温度传感器、数据记录仪,以及运输全程的温度记录;考虑涵盖网络攻击损失的运输保险。

不只是超市的问题

这些通告针对的是制冷设备,但风险模式更宽。SingCERT列出的行业包括能源与公用事业、水务、制造、楼宇管理和暖通空调、冷库与物流、医疗设施管理。Field Effect的分析指出,同样的远程管理模式也用于暖通空调、配电、水泵和数据中心制冷,而由维保商安装的控制器往往不在公司的IT资产清单里。

对工厂、冷库或食品出口企业来说,问题很简单:哪些设备可以被第三方从外部修改,一旦被改,会有人察觉吗?

向维保商和IT团队提出的8个问题

第一篇文章给出了6项快速检查。下面这些更进一步。

  1. 控制器归谁所有,登记在哪里? 维保商安装的控制器常常不在IT清单中。请他们提供每台设备的型号、固件版本、所在地点、管理地址和维保负责人。
  2. 有没有管理页面能在公网IP地址上响应? 请维保商书面确认,并自行扫描你的IP段。这是CERT-FR和CISA最先要求移除的一项。
  3. 是否存在共用或已失效的维保账号? Forescout建议使用实名账号加多因素认证,并清除不再合作人员的权限。
  4. 只读账号能否修改除霜计划? Forescout建议按功能限制权限,使负责查看告警的人默认无法改写设置。
  5. 是否设置了温度上下限,超限时是否告警? CISA要求为下游设备设置合理限值并对偏离告警。由于攻击者也可能让你看不到真实读数,请另设独立的温度传感器和单独的告警通道。Forescout也指出,访问控制应有工程安全措施和独立监控作支撑。
  6. 远程会话是否有日志,能否与设定值变更对应? Forescout建议记录远程会话,并与设定值和除霜变更进行关联。
  7. 应急预案是否考虑了物理过程? Forescout提醒,自动隔离控制器本身可能造成损害。SingCERT要求预案经过演练,并包含隔离和手动控制的后备方案。请事先确定谁有权切换为手动,以及库存转移到哪里。
  8. 合同和保险涵盖什么? 泰国总理要求商务部审查信用条件和贸易保险,DITP则建议投保涵盖网络损失的运输险。请向保险经纪人确认,由远程操作造成的货损索赔会如何处理。

监控能帮上什么,帮不上什么

配置整改要先做:关闭对外暴露、整理账号、设定限值。之后,监控的作用是缩短"出事"到"有人知道"之间的时间。

simpliSOC是基于Wazuh的监控平台,接收防火墙、VPN、服务器和终端的日志,应用50多条自定义检测规则,并在日志源静默时告警。它适合第3和第6项中与访问相关的部分:谁在什么时间、从哪里通过VPN连接。

局限与上次相同。simpliSOC页面没有说明对OT或IoT的支持,大多数制冷控制器也无法运行监控代理。把控制器日志或温度读数接入监控,需要按你的场地单独评估,并非内置功能。监控能缩短发现时间,但不能防止某一种特定的攻击。

联系我们

告诉我们你的维保商能远程接触哪些设备、通过什么方式连接。我们会说明会先检查什么、监控什么。一次简短的范围沟通就足以开始。

  • 邮箱:hello@simplico.net
  • 电话:(+66) 97496 6397

如需监控之外的网络设计与系统集成咨询,请查看我们的系统设计与咨询服务。

常见问题

幕后是谁已经查明了吗?
没有。法国检方依据攻击手法、语言和IP地址,怀疑与伊朗革命卫队有关联的团伙。这是进行中的调查中的指控,尚未点名个人。FBI的警示只是概括地描述这类活动,并未认定法国攻击的责任方。

泰国或日本发生过攻击吗?
在我们查阅的报道中没有。泰国总理称海外报道尚未证实,并要求部门监控。日本的提醒要求运营方检查自身设备。两者都是预防性措施,不是事件通报。

相关文章

阅读全部文章 →

维保商需要远程访问,我们不能直接断开,怎么办?
不必完全断开。CERT-FR的做法是去除公网暴露,核查配置后通过安全VPN重新连接,IP限制只作权宜之计。CISA还建议加上多因素认证、为OT设备划分独立网络,并限制谁能修改设置。

我们只是租用冷库存放货物,也相关吗?
可能相关。请向运营方询问谁管理控制器、如何访问,以及你会收到哪些告警。DITP面向出口企业的建议(传感器、数据记录仪、温度记录)无论如何都值得采纳。

来源

最新文章

Ready to talk about your project?

Share goals and constraints. We'll assemble architects and engineers to move fast with you.

Get in touch