据新华社报道，11月2日凌晨，至少十个欧洲国家的超市员工发现制冷系统受到网络攻击影响，冷冻柜温度已升至50摄氏度，生鲜成批报废。三周前，法国约700家超市刚经历过同样手法，损失以数千万欧元计。

没有组织认领，没有勒索要求，欧盟称之为“蓄意扰乱食品供应链”，并与多个成员国当局就此事展开调查。

“低技术”攻击的扩散

首波攻击发生在10月12日至13日凌晨，目标集中在法国。黑客远程控制了数百家超市的制冷管理系统，将温度升到50°C并维持约六小时。

法国网络安全局事后指出，漏洞“基础得令人不安”：许多冷柜控制器直接暴露在互联网上，使用出厂默认密码，固件多年未更新，报警功能在攻击前被关闭或静默，店员直到第二天早上才发现异常。

三周后，同样的手法出现在至少十个欧洲国家。连锁超市德尔海兹（Delhaize）在比利时和卢森堡的数十家门店报告“IT事件”，瑞典可普超市（Coop）七家门店的制冷系统部分或完全停摆，爱尔兰超值超市（Super Valu）十三家门店的冷链受到冲击。

与法国首波相比，第二波受影响的门店数量有所减少，但地理范围明显扩大，表明攻击者具备跨国有组织行动的能力，或者至少存在有效的模仿与扩散机制。

攻击的“低技术”特征，是其最令人不安的地方。

网络安全公司“守护使”（Sophos）威胁情报高级总监皮林将其比作“戴上橡胶手套去拨开关”：不需要定制恶意软件，不需要零日漏洞，只要找到暴露在公网上的管理界面，用默认凭证登录，把恒温器从零下调到零上。

丹佛斯（Danfoss）方面确认，受影响的型号主要是AK-SM 800和AK-SC 355，前者已于2021年5月停产，后者早在2016年就已淘汰。

这些本应被替换的旧设备，连同其已知的安全缺陷，一直留在欧洲超市的冷链系统中运行。

无人认领的“混合战”

目前，还没有勒索软件团伙索要赎金，也没有黑客活动组织认领行动。

意大利邮政警察和网络安全部门已就此立案调查，审查方向包括“亲俄黑客团体协调的破坏行动”，调查人员将这一假设放在“混合战”的框架下理解，即通过低成本的网络操作制造服务中断、经济损失和社会不安。

爱尔兰安全部门的消息源则把调查方向描述为：这是一次“勒索软件的测试运行”，或是“敌对国家行为”，或者“两者兼有”。

皮林对此给出的判断是，最可能的两种解释是“某种国家背景的信号展示与能力演示”，或者“出于个人原因的独行黑客”。

归因的困难并不只在于证据不足，还在于攻击的结构本身。

攻击所需的技术门槛极低，以至于“谁有能力做”几乎无法缩小嫌疑范围。一个掌握基础网络扫描技能的个人，与一个有组织的行动小组，在这类低门槛操作中留下的痕迹可能并无本质区别。

如果攻击者不提出勒索、不发表声明、也不认领行动，调查所能依赖的技术线索就更加有限。

而攻击一旦被识别为“可能来自国家行为体”，其心理冲击和威慑效果就已经部分实现，无论最终归因结果如何。

混合战的关键特征就在于：模糊性本身就是工具。

谁该为“冷战”负责

攻击的技术门槛越低，修补的责任归属就越模糊。受影响的门店拥有硬件，但维护、保养和管理普遍外包给制冷承包商和软件服务商。

数据分析机构IDC分析师鲍比·库兹马则点出了具体的缺口：网络安全团队往往不知道这些设备已经联网，“监控威胁情报的人和管理运营技术的人之间，存在巨大的可见性差距”。

这种模糊性直接解释了第二波攻击为何能够发生。

法国计算机应急响应小组（CERT-FR）在10月中旬首波攻击后已发布建议，要求将暴露在公网的制冷控制系统断开，仅通过安全VPN重新连接。但三周后，比利时、瑞典、爱尔兰的门店以几乎相同的方式被击中。

保险也没有提供兜底。标准网络保险通常不覆盖食物变质这类物理损失，保单在网络安全与财产损失之间的衔接上也存在明显空隙，而超市的索赔还可能因未及时更新软件而受影响。

法规的覆盖同样有限。欧盟《网络弹性法案》自2026年9月起要求制造商报告被积极利用的漏洞，但不强制制造商修复已停产产品，本次受影响的丹佛斯控制器均不在强制修复范围内。

且欧盟网络安全框架的重心仍在能源、交通和金融等关键基础设施，零售是一个“相对盲区”。

制度层面的协调已经启动。欧盟委员会11月3日召集了两场危机会议，目的是交换信息并研究“如何集体应对”。但会议也只能在现有框架内协调，而非填补框架本身的缺口。

（编辑邮箱：ylq@jfdaily.com）