太狠了！10月11日黑客利用丹佛斯制冷软件漏洞远程搞事，一键启动强制除霜，家乐福等400家超市冷柜集体变烤箱，温度拉到50℃，个别直接干到80℃，持续加热整整6小时！
 
12号早上，法国各地超市员工像往常一样进店开门，一走到冷柜区就觉得不对劲儿——一股闷热混着腥气扑面而来，跟平时寒气逼人的生鲜区完全是两个世界。
 
有人拉开冷柜门，里面的牛奶鼓着包，冻肉软塌塌地淌着血水，冰淇淋化成了一滩糊糊，有的冷柜外壁甚至烫得手都不敢碰。
 
这不是某一家店的倒霉事。从Intermarché到家乐福，从U合作社到Monoprix，一夜之间全法国400多家超市的冷柜集体"造反"。
 
员工们后来才反应过来，问题出在冷柜里那个丹麦牌子丹佛斯的温控系统上——有人在几百公里甚至几千公里外，远程按下了"强制除霜"的按钮。
 
正常情况下，除霜就是冷柜运行一段时间后稍微升温化个霜，半小时左右就完事。可这回黑客把除霜模式直接焊死了，温度一路往上拉到50度，整整六个小时不带停的。
 
你就想想，你家冰箱要是连续烤六个小时，里面的东西能好得了？鱼虾、鲜肉、速冻饺子、奶制品，全在里头捂着。等天亮了店员发现的时候，一柜一柜的货只能整柜往外搬，直接拉去报废。
 
Intermarché那边300多家店全部清空了冷柜里的生鲜和冷冻食品，一家店光是倒垃圾就得拉好几车。
 
更吓人的是，有几家店的冷柜因为长时间异常运行，直接冒出了烟，差一点就烧起来。要不是早上开门及时发现，后果真不敢想。
 
这事说起来离谱，但根子早就埋下了。
 
丹佛斯是丹麦一家做工业制冷控制的大公司，全欧洲一大半超市的冷柜温控系统都是它家的。这次被黑的，主要是AK-SM 800这一系列的老型号。
 
早在去年5月，美国网络安全和基础设施安全局就发过警告，说这个系列有身份验证绕过的漏洞，攻击者不用密码就能直接登进系统改参数。三个月后，又一个命令注入漏洞被扒了出来，连远程执行代码都能做到。
 
可问题是，这些老型号早就过了技术支持期，丹佛斯不再给它们发安全补丁了。公司自己也说了，早就建议客户换新设备。
 
但换一套温控系统多少钱？一家超市上百个冷柜，全部换一遍不是小数目。能省就省，能拖就拖，很多店就这么一直用着。
 
结果呢？安全公司一查，光在法国境内，就有1590台丹佛斯的设备赤裸裸地暴露在互联网上，连个防火墙都没套。全球范围内更是超过2700台，Shodan上能搜到的甚至有4500多台。
 
这就相当于你家大门不锁，还在门口贴了张纸条写着"密码是123456"。黑客都不用费劲，扫一眼公网就能把这些设备全找出来，然后一个指令同时操控几百台。
 
过去大家总觉得，网络攻击就是偷密码、盗信用卡、加密文件要赎金那一套。这回不一样了——黑客不偷钱，不加密数据，他直接把你现实世界里的物理设备给操控了。你冷柜里的货，就是他的人质。
 
食品供应链是什么？是老百姓每天开门就要吃饭的底线。400多家超市的冷柜一停，几万份肉蛋奶直接报废，当天的生鲜补货就得加急从仓库调。
 
U合作社的CEO在社交媒体上直接说了句话，说攻击食品供应的关键设备，性质极其严重，前所未有。欧盟管农业的专员也站出来谴责，说针对食品供应的网络攻击，已经从科幻片变成了现实。
 
法国总理勒科尔尼当天就下令国家网络安全局ANSSI介入，巴黎检察院也立了案。
 
现在ANSSI一边联系丹佛斯堵漏洞，一边跟欧洲其他国家的同行通气——因为谁也说不准，下一个被按开除霜键的，会不会是隔壁德国、意大利的超市。
 
这事最值得琢磨的地方在于，它开了一个非常坏的头。以前工业控制系统是跟互联网物理隔离的，叫"空气墙"，黑客再厉害也碰不到。
 
可现在为了方便远程监控、远程调温，这些设备一个个全连上了网。方便是真方便了，安全漏洞也跟着全暴露了。
 
你想想，不光是超市冷柜。水厂的水泵、电厂的控制系统、医院的核磁共振、地铁的信号调度，这些关系到国计民生的关键设备，背后都跑着成千上万套老旧的工业软件。
 
很多设备从装上去那天起就没更新过，厂商早就停服了，可设备还在24小时转着。
 
这次黑客选了超市冷柜下手，损失的是几百万欧元的食品。可要是哪天有人把手伸向了别的地方呢？
 
技术警告一年前就响了，补丁也发了，可没人当回事。不是因为不知道危险，是因为换设备要花钱、要停摆、要动既有的运营节奏。
 
代价摆在眼前，安全隐患却好像永远在"以后再说"。直到六个小时的强制除霜把400多家超市的冷柜烤成烤箱，这笔账才算真正砸到了桌面上。
 
对于这件事，你怎么看？