編按:本文綜合整理自 Ars Technica 原報導、Reuters 追查報導、CNN 受害範圍整理、Claroty Team82 漏洞原始研究、The Register Frostbyte10 揭露、比利時 CCB 資安中心警告、Cybersecurity Dive 漏洞分析,並加入 Siami 編輯部觀點與分析。
事件始末:700 家超市一夜失溫,部分起火
本週稍早,法國估計 700 家超市的冷藏冷凍系統遭到大規模駭客攻擊,系統突然失靈,造成數噸生鮮與冷凍食品報廢,部分店家電氣系統起火。法國主管機關調查後指出,被入侵的對象是店內整個冰箱與冷凍庫機隊的「物聯網控制器」,這些控制器原本設計用途是讓技師遠端管理整家店的冷藏系統。駭客利用這些控制器的漏洞取得管理員權限後,啟動除霜(defrost)模式長達數小時,直到冰箱內部溫度飆到 50°C(122°F)。等到大量失溫警訊傳回管理後台,食品早已報廢,部分店家的電氣系統也因長時間高溫而短路起火。
CNN 進一步報導,事件爆發前全球已有超過 1,700 個 Danfoss 控制器實例暴露在公開網路上,任何人都能用搜尋引擎(Shodan 之類)直接看到;比利時聯邦資安中心(CCB)則在事件後緊急發布警告,確認除了法國,西班牙、葡萄牙、波蘭、德國、比利時本地也都有受害案例。事件至今沒有任何組織出面承認犯行,法國檢方與歐洲刑警組織(Europol)仍在追查。
漏洞根源:每日密碼由公開 firmware 自動生成
多家安全研究機構早已公開示警,這次被駭的三款控制器——丹麥 Danfoss、美國 Dixell 及其母公司 Copeland——都含已知嚴重漏洞。最令人震驚的是 Danfoss 控制器的「Code of the Day」設計:每日登入密碼是由控制器的公開 firmware 依日期自動產生。換句話說,只要下載一次 firmware 原始碼、分析其密碼生成演算法,任何駭客都能預測「今天全球所有 Danfoss 設備的管理員密碼是什麼」。這組密碼在數百、甚至數千家店面的同型號設備上是完全相同的。
Copeland 與 Dixell 的 E2、E3 系列控制器則被研究機構 Team82(隸屬 Claroty)在 2025 年 9 月揭露的「Frostbyte10」漏洞組合攻破,當中包括 CVSS 達 8.8 的任意讀取漏洞(CVE-2025-52544)。Claroty 早在 2025 年 8 月就完整公布 Danfoss 控制器從 CVE-2025-41451(SMTP 認證漏洞)一路走到遠端程式執行(RCE)的攻擊鏈;Cybersecurity Dive 報導,丹麥 Danfoss 也已對外發出兩份漏洞公告。換言之,這些漏洞在被實際利用前至少 12 個月,已經在資安研究圈被完整攤開。
除了沒更新 firmware,受害超市的 IT 顯然也沒做到兩件基本防護:把控制器放在 VPN 後面、設置 IP allowlist 限制登入來源。這兩項在工業控制系統(ICS)部署手冊裡是「標配」等級要求,但現場經常被以「維護方便」為由跳過。
業界早有警告:12 個月內三次提醒都被忽略
英國資安研究機構 Pen Test Partners 的 Ken Munro 在接受 Reuters 採訪時直言:
「兩件事就能改變結局:基本資安衛生——把控制器從公開網路拉下來、把遠端登入放 VPN 後面、加 IP allowlist、第三方設備走受控網段別用承包商自家線路、預設與已知密碼全換、立刻升級到現行版本。」
事後諸葛很簡單,但這三組資安機構早就在事前說過:
- 2025 年 8 月 9 日:Claroty Team82 公開「Freeze the Controller, Defrost the Food」完整研究,示範 Danfoss 控制器的 Code of the Day 漏洞如何走到 RCE
- 2025 年 9 月 2 日:The Register 揭露 Copeland E2/E3 控制器的 Frostbyte10 十項漏洞,當中包含 CVSS 8.8 的任意讀取漏洞
- 2026 年 2 月:美國 CISA 也對同批控制器發出資安公告
法國超市業者顯然對這三次提醒選擇性失聰。事件爆發後,Copeland 在聲明中坦承漏洞是「discontinued, end-of-life generation of controllers」(停產、產品週期終結世代的控制器),並表示正與客戶合作防止類似事件。Danfoss 與 CNN 聯繫時同樣以「停產產品線」作為回應。換句話說,漏洞早在設備「理論上的生命週期」結束之前就已被研究人員掌握,業者卻繼續讓這些設備在 production 環境運作,直到事故發生。
🚨 為什麼這件事重要:IoT 工業控制的「結構性放棄」
把這次事件放進 IoT / 工業控制系統(ICS)資安的歷史脈絡,有三個結構性意義值得警惕。
第一,「Code of the Day」是教科書級的反面教材。密碼用日期生成、邏輯還公開在 firmware 裡、全球同型號共用同一組密碼——這已經不是「資安疏忽」,而是「資安結構性放棄」。Danfoss 把「不更新設備等於門戶大開」寫成設計規格,業界對 IoT 設備「裝上去就放著」的維運文化,終於在歐洲最大經濟體之一被實體引爆。
第二,漏洞在被利用前 12 個月已經被完整揭露過。Claroty 2025 年 8 月、CISA 2026 年 2 月、Pen Test Partners 反覆提醒——這條時間線顯示工業控制設備的漏洞管理流程不是「沒人發現」,而是「發現了也沒人理」。食品零售業的損益表裡,IT 設備更新屬於「無形資本支出」,沒出事前很難跟董事會解釋;出事了,數億歐元損失就會寫成各家年報的「一次性特殊費用」。
第三,從 Mirai 到這次,IoT 殭屍化的物理後果第一次進入大眾視野。2017 年 Mirai 殭屍網路感染數十萬台 DVR 與 IP Camera 發動史上最大 DDoS 攻擊,當時主流媒體把 IoT 風險報導成「網路世界的故事」。這次事件直接把 IoT 漏洞從「網路世界」搬到「物理世界」:50°C 的冰箱足以讓任何冷鏈食品變質、讓電氣系統起火、讓整條歐洲食品供應鏈陷入短期危機。從 Mirai 到這次,剛好是九年。
第四,動機不明本身就是警訊。駭客沒有勒索、沒有贖金留言、沒有政治宣言。法國當局目前不排除 vandal 與國家級行為者兩種可能。比利時 CCB 已將此事件升級為「跨境關鍵基礎設施攻擊」,歐洲未來 12 個月內對工業控制設備的資安規範可能加速收緊。
📊 數據解讀與質疑:六個問題必須追問
把這次事件的數字攤開,可以看到幾個互相矛盾的訊號。
第一,為什麼 700 家店同時被駭,而不是單一店家? Danfoss 與 Copeland 控制器的密碼生成邏輯在全球同型號上是「共用」的,這代表只要研究人員或駭客分析一次 firmware,就能用同一組憑證橫掃多個國家、多個連鎖超市的 IT 基礎設施。這就是 ICS 設備的「單一漏洞、橫向感染」特性,任何一條漏洞揭露,影響範圍都不是單一公司,而是整個產業。
第二,駭客為何選擇「加熱」而不是「冷卻到極低」? 把冰箱加熱到 50°C 是相對容易實現的攻擊:除霜模式本來就是合法操作,只是被長時間啟動。比起「注入錯誤冷媒溫度」、「破壞壓縮機」這類需要深入控制邏輯的攻擊,單純啟動 defrost 是「低技術門檻、高破壞效果」的選擇。這暗示駭客對工業控制協議的熟悉程度可能有限,更可能是用公開漏洞自動化攻擊,而非客製化攻擊鏈。
第三,50°C 真的會引發電氣火災嗎? Ars Technica 報導「electrical systems caught fire」,但具體起火原因(壓縮機過載?線材絕緣劣化?冷凝水造成的短路?)目前沒有公開細節。讀者應注意 Ars Technica 用詞較保守,CNN 與 Reuters 報導用詞更戲劇化。這是媒體在不同時間點引用同一事件時的常見落差。
第四,「停產產品線」這條迴避策略能撐多久? Copeland 與 Danfoss 都以「停產、產品週期結束」來切割責任,理論上 ICS 設備的支援週期是 5-7 年,超過後使用者應自行負責。然而,業界實務上,工業控制設備的實際使用年限往往是支援週期的 2-3 倍,特別是超市、餐廳、便利商店這類「裝了就不動」的場景。這次事件之後,監管機關可能會開始追究「明知設備已過支援週期卻仍在關鍵基礎設施運行」的責任。
第五,Shodan 上 1,700 個暴露實例是冰山一角嗎? CNN 引述「超過 1,700 個實例」,但 Shodan 的覆蓋率有限,實際暴露在公開網路的工業控制設備數量可能是 5-10 倍以上。這是 IoT 資安長期被低估的問題:我們看到的永遠是「搜尋引擎能找到的」,至於企業內網、第三方承包商網段、4G/5G 物聯網 SIM 卡後面的設備,根本沒人看得見。
第六,「Code of the Day」是設計瑕疵還是商業妥協? Danfoss 設計每日密碼自動輪換,本意是降低靜態密碼被盜的風險;但因為演算法公開在 firmware 裡,反而讓所有同型號設備共用同一組密碼,等於把「單一密碼保護的資產範圍」放大到全球。這是 ICS 資安最經典的「設計目標 vs 威脅模型錯配」案例,教科書未來一定會收錄。
Siami 觀點:這次事件最值得台灣讀者關注的,不是歐洲超市冰箱被駭這件事本身,而是台灣的工業控制、醫療儀器、半導體廠務系統有多少 IoT 設備是同樣「裝了就不動」的狀態。台灣的資安意識近兩年進步很多,但 IoT / OT 場域仍然是被忽略的一塊。這次事件或許是企業董事會重新檢視自家 OT 資安政策的好時機。
外部延伸閱讀
- Reuters 追查報導:駭客動機未明,法國當局持續調查
- CNN 受害範圍整理:1,700 個暴露實例、跨國攻擊鏈
- Claroty Team82 原始研究報告(2025-08)
- The Register:Frostbyte10 漏洞揭露 Copeland E2/E3 風險
- 比利時 CCB 資安中心警告
- Cybersecurity Dive:Danfoss 漏洞細節與 CVE 編號
- CNBC 報導:損失金額、保險理賠、產業反應
- Wikipedia 條目:2026 French supermarket refrigerator hack
影片
業界 X 評論
-
@DailyDarkWeb(資安情報帳號)：「UPDATE: 法國冷藏攻擊擴大至 Copeland 與 Dixell 控制器,繼 10/12 報導 Danfoss 超市網攻後續觀察。」原文
-
@CybersecurityDive(資安媒體)：「Copeland 坦承漏洞來自 discontinued、end-of-life 世代控制器。Danfoss 與 CNN 接觸時也引用同樣說法。」
-
@AnthropicAI(無直接評論,作為對照組)：Anthropic 在 9 月公布「AI 自動攻擊研究」指出 AI 代理可在 5-10 分鐘內掃描整個企業外部 IoT 表面積並識別可利用的暴露面。這次事件可能是 AI 自動化攻擊鏈對工業控制設備的首次大規模實證。
網友熱門留言 (5)