法国超市制冷控制器暴露公网数月：IPinfo 扫描显示 1331 台 Danfoss 面板，85% 存在已知漏洞

2026年10月11日至12日夜间，法国数百家超市的冰箱和冷柜开始升温。网络攻击者将制冷系统推入除霜模式，该模式会加热冷却部件以融化冰霜。据巴黎检察官称，部分设备温度达到50°C（122°F），一些设备开始起火，商店不得不丢弃新鲜和冷冻食品。报道指向一家制冷控制器制造商——丹佛斯（一家丹麦工业公司）。我们查阅了IPinfo的每周互联网扫描数据，以考察攻击发生前这些系统的情况。在这篇博文中，我们将探讨部分发现。

以下是摘要：

• 法国的暴露冰箱仪表盘数量超过世界其他地区的总和：1,331个，而其他72个国家和地区合计为1,197个。
• 85%运行存在已知安全漏洞的软件。其中包括527个丹佛斯已不再支持的旧款控制器。
• 仅有195个安装了所有已知修复程序。
• 大多数已暴露至少六个月。其中1,019个法国仪表盘在3月30日处于同一地址，而在此期间完全更新的比例仅从14%升至24%。
• 法国的补丁更新情况并不比其他国家和地区差。其他地区的漏洞比例几乎相同（84%）。法国只是有远更多的此类系统在线。
• 大多数在攻击后下线。1,331个中有316个在10月14日仍在线。

事件经过

各连锁店报告的数字持续增长。据Futura-Sciences报道，共有400多家门店受到攻击，损失可能达到数百万欧元。家乐福表示其80家门店受到攻击，而Intermarché和Netto（均隶属于法国零售集团Les Mousquetaires）有300多家门店受到攻击。Monoprix报告约5%的门店受到影响。另外两家法国连锁超市Leclerc和Coopérative U也确认遭到攻击。Coopérative U首席执行官Dominique Schelcher告诉RTL，其2,000家门店中有80家受到攻击。他补充说，这些门店并非直接从丹佛斯采购，而是使用由制冷承包商提供的丹佛斯系统。

丹佛斯表示，大多数受影响设备是“遗留”设备，并点名了两款较旧的控制器型号：AK-SM 800和AK-SC 355。CERT-FR（法国网络安全机构）表示，已知悉多起AK-SM和AK-SC控制器被入侵的事件。它建议运营商断开这些设备或限制可访问它们的人员，并于10月13日更新了警报，新增了来自美国制冷设备制造商Copeland及其意大利品牌Dixell的XWEB监管器（用于监控商店冰箱和冷柜的系统）。其警报称攻击活动可能仍在进行中。目前无人声称对此负责或说明入侵方式，巴黎检察官办公室已展开调查。

法国遥遥领先

我们对IPv4互联网（最常见的互联网地址类型）进行每周扫描，连接网站常用的端口（计算机应答的编号门户）并记录响应内容。在10月6日至7日（攻击前五天）进行的扫描中，有2,528个地址显示了丹佛斯StoreView仪表盘。这是商店和技术人员用来监视和管理这些控制器的网页，相当于后室的控制面板，只不过任何输入该地址的人都可以打开它。

根据我们的数据，法国有1,331个（53%）。这超过了其他72个国家和地区的总和（1,197个）。波兰以179个位居其次，然后是美国的101个、葡萄牙的92个和比利时的85个。

2026年10月6日至7日，按国家划分的暴露于互联网的丹佛斯仪表盘。

为什么是法国？

我们的数据无法说明原因，但可以排除一些因素。法国仪表盘运行的软件版本组合与其他地区相同，因此补丁更新情况并不更差。它们的连接方式也没有异常。在法国，约三分之二通过一家全国性提供商连接，这与葡萄牙、德国或罗马尼亚的主要电信运营商类似。几乎所有（98%）都位于电信运营商的网络上，而非数据中心或云中，这符合控制器插入商店自有互联网连接、并为技术人员或总部开放访问的情况。CERT-FR的建议暗示了商店为何保持这些设备在线：它建议商店在切断控制器发送给制冷承包商的数据之前，先检查其保险条款。

大多数冰箱软件已过时

仪表盘还暴露了其背后软件的陈旧程度。它们有两代。较旧的一代是由Flash（一种旧浏览器插件，已于2020年退役）构建的页面，由AK-SM 800提供。丹佛斯于2023年宣布这些控制器生命周期结束。同年，安全公司Synacktiv发布了针对它们的登录绕过方法（无需密码即可进入的方式），丹佛斯的建议是限制网络访问。这就是丹佛斯所指的“遗留”设备。

较新的一代运行在丹佛斯当前型号AK-SM 800A上。其仪表盘显示软件的构建时间，有点像纸箱上印的生产日期，这告诉我们它大致运行哪个版本：其中242个显示2023年5月19日，即固件3.3的构建日期（固件是内置于控制器中的软件）。早于3.3的控制器缺少三个2023年的修复程序，其中包括一个被评为严重级别的漏洞修复。早于4.2的控制器还缺少一个2025年登录绕过漏洞的修复，早于4.3.1的则缺少另外两个2025年的修复。

综合来看，85%的法国仪表盘（1,331个中的1,136个）运行存在已知安全漏洞的软件，与其他地区84%的比例几乎相同。这包括527个丹佛斯不再支持的旧款控制器、280个缺少2023年修复的控制器和329个缺少2025年修复的控制器。仅有195个安装了所有已知修复程序。

丹佛斯仪表盘的更新情况，法国与世界其他地区对比。

暴露已存在数月

从2026年3月下旬到攻击发生前的每次扫描都发现大致相同的数量：2,464至2,622个暴露于互联网的丹佛斯仪表盘，其中约一半在法国。它们大多是相同的设备。在10月6日发现的1,331个法国仪表盘中，有1,019个在六个月前的3月30日处于完全相同的地址。

在这几个月中，法国丹佛斯不再支持的旧款控制器数量并未减少（3月底为519个，10月为527个）。更新进展缓慢。安装了所有已知修复程序的较新法国控制器比例从14%升至24%，每月不到两个百分点。

2026年3月30日至10月6日每周扫描发现的丹佛斯仪表盘。

攻击后商店是否断开了连接？

大多数商店在攻击后确实断开了连接。我们的下一次每周扫描于10月14日（攻击后两天）进行。在10月6日至7日发现的1,331个法国仪表盘中，只有316个仍在同一地址在线，下降了76%。在8月至10月初的每周扫描中，每周仅有3%至7%消失。丹佛斯不再支持的旧款控制器降幅最大，从527个降至64个。完全更新的控制器也下降了，从195个降至54个，这表明商店是断开了连接而非进行了更新。在法国以外，25%消失，高于通常的9%至12%。另一家每日统计的互联网扫描公司Censys在10月11日至14日期间观察到法国类似的71%降幅。

10月14日，发现2025年漏洞的安全公司Claroty的技术总监告诉Tom's Guide，暴露的AK-SM 800控制器仍在线。我们10月14日的扫描仍发现了64个。

攻击前后法国的丹佛斯仪表盘，按软件划分。

这些控制器还在哪些地方开放

法国并非唯一拥有这些在线系统的国家。存在已知漏洞的丹佛斯仪表盘在另外69个国家和地区开放，以波兰（157个）、美国（85个）和葡萄牙（77个）为首。在一些国家，大多数是丹佛斯不再支持的旧款控制器：冰岛80%、澳大利亚75%、德国72%。

存在已知安全漏洞的丹佛斯仪表盘，按国家划分。

一些报道表明其他欧洲国家可能也受到了攻击。澳大利亚ABC援引的一位分析师表示，西班牙、葡萄牙、波兰、德国和比利时也受到了影响。我们的数据无法确认是否如此，但确实显示这五个国家在攻击前五天都有过时的丹佛斯仪表盘暴露于互联网。

Dixell的情况如何？

CERT-FR更新的警报还点名了Dixell（Copeland旗下意大利制冷控制器品牌）的XWEB监管器，因此我们也进行了统计。同一次扫描在66个国家发现了1,611个XWEB仪表盘，但法国仅有70个；Dixell总部所在的意大利有467个。根据软件构建时间判断，752个较新的XWEB PRO单元中只有180个安装了2026年2月的修复程序。其余859个是较旧型号，自2018年以来未获得Copeland的软件更新。

攻击后，法国运营商也拔掉了他们的XWEB仪表盘：我们10月14日的扫描发现70个中只有20个仍在线，下降了71%，而正常一周仅损失2%至9%。在其他地区（包括意大利），数量仅以通常的每周速度下降。

我们如何统计这些仪表盘

由我们数据团队构建的两个指纹（识别设备的模式）进行识别。较新的界面通过其页面标题匹配。较旧的界面通过其Web服务器加上Flash加载页面匹配，从而识别AK-SM 800。丹佛斯也点名的AK-SC 355控制器可能不在我们的统计中。十六个共享较旧Web服务器但并非丹佛斯的设备（备用电源单元中的网卡、楼宇控制器、恒温器）已被移除，同时移除的还有两个几乎在所有端口都有响应的地址，这是蜜罐（为吸引攻击者而设置的诱饵）的迹象。

安全研究员Baptiste Robert在X上发布的独立统计发现2,752个丹佛斯系统在线，其中1,590个在法国，略高于我们的数字。采用不同扫描方式的Censys发现更多：10月11日法国有1,825个较新仪表盘，占其全球总数的61%。这些数字是最低值。它们仅涵盖IPv4和我们扫描的端口，一个地址并不总代表一家商店。我们不公布任何地址。CERT-FR告诉我们它已识别出受影响系统，我们正与CERT-EU（欧盟机构网络安全团队）联系，以尽我们所能帮助其他欧洲网络安全团队。

运营商可以做什么

CERT-FR的建议是将这些控制器从公共互联网上移除，如果承包商需要远程访问，则通过安全VPN（私有加密连接）提供。仅允许承包商的地址是一种权宜之计，而非修复方案。仅恢复出厂设置也不够：一个不再获得更新的暴露控制器很可能再次被入侵。对于丹佛斯系统，CERT-FR还建议更新固件、将安全级别设置为Strict并更改默认密码。

数据无法说明什么

我们无法从扫描中判断攻击者如何进入或他们是谁，也不知道哪些连锁店或商店受到攻击。能够从互联网打开仪表盘并不意味着任何人都能通过它入侵，也无人说明上述任何漏洞是否被利用。数据确实显示了攻击前后的情况。攻击前五天，法国向任何人开放的此类仪表盘数量超过世界其他地区的总和，且大多数更新滞后。攻击后，大多数在几天内下线，我们将继续检查10月14日仍在线的316个。

这是IPinfo的数据故事之一，我们用自己的测量数据来观察互联网上发生的事情。如果您发现我们有误、有补充数据或希望我们调查某个故事，请发送邮件至emot@ipinfo.io。

数据：IPinfo对IPv4地址的互联网扫描：2026年3月30日至10月6日至7日期间的18次扫描，约每周一次，以及攻击后10月14日的一次扫描。计数为地址数且为最低值。