记者 宋端仪
据新华社报道，11月2日凌晨，至少10个欧洲国家的超市员工发现制冷系统受到网络攻击，冷冻柜温度已升至50摄氏度，生鲜成批报废。三周前，法国约700家超市刚遭遇过网络攻击，损失以数千万欧元计。
该事件没有组织认领，也没有勒索要求，欧盟称之为“蓄意扰乱食品供应链”，并与多个成员国当局就此事展开调查。
“低技术”攻击的扩散
首波攻击发生在10月12日至13日凌晨，目标集中在法国。黑客远程控制了数百家超市的制冷管理系统，将温度升到50摄氏度并维持约6小时。
法国网络安全局事后指出，漏洞“基础得令人不安”，许多冷柜控制器直接暴露在互联网上，使用出厂默认密码，固件多年未更新，报警功能在攻击前被关闭或静默，店员直到第二天早上才发现异常。
三周后，同样手法的网络攻击出现在至少10个欧洲国家。连锁超市德尔海兹（Delhaize）在比利时和卢森堡的数十家门店报告“IT事件”；瑞典可普超市（Coop）7家门店的制冷系统部分或完全停摆；爱尔兰超值超市（Super Valu）13家门店的冷链受到冲击。
与首波攻击相比，第二波受影响的门店数量有所减少，但地理范围明显扩大，表明攻击者具备跨国有组织行动的能力，或者至少存在有效的模仿与扩散机制。
攻击的“低技术”特征，是其最令人不安的地方。网络安全公司“守护使”（Sophos）威胁情报高级总监皮林将其比作“戴上橡胶手套去拨开关”，不需要定制恶意软件，也不需要零日漏洞，只要找到暴露在公网上的管理界面，用默认凭证登录，就能把恒温器从零下调到零上。
丹麦制冷系统制造商丹佛斯（Danfoss）方面确认，受影响的型号主要是AK-SM 800和AK-SC 355，前者已于2021年5月停产，后者早在2016年就已淘汰。这些本应被替换的旧设备，连同其已知的安全缺陷，一直留在欧洲超市的冷链系统中运行。
无人认领的“混合战”
目前，还没有勒索软件团伙索要赎金，也没有黑客活动组织认领行动。
意大利邮政警察和网络安全部门已就此立案调查，审查方向包括“亲俄黑客团体协调的破坏行动”，调查人员将这一假设放在“混合战”的框架下理解，即通过低成本的网络操作制造服务中断、经济损失和社会不安。
爱尔兰安全部门的消息源则把调查方向描述为：这是一次“勒索软件的测试运行”，或是“敌对国家行为”，或者“两者兼有”。
皮林对此给出的判断是，最可能的两种解释是“某种国家背景的信号展示与能力演示”，或者“出于个人原因的独行黑客”。
归因的困难并不只在于证据不足，还在于攻击的结构本身。攻击所需的技术门槛极低，以至于“谁有能力做”几乎无法缩小嫌疑范围。一个掌握基础网络扫描技能的个人，与一个有组织的行动小组，在这类低门槛操作中留下的痕迹可能并无本质区别。如果攻击者不提出勒索、不发表声明、不认领行动，调查所能依赖的技术线索就更加有限。而攻击一旦被识别为“可能来自国家行为体”，无论最终归因结果如何，其心理冲击和威慑效果已经部分实现。
混合战的关键特征就在于，模糊性本身就是工具。
谁该为冷链事故负责
攻击的技术门槛越低，修补的责任归属就越模糊。受影响的门店拥有硬件，但维护、保养和管理普遍外包给制冷承包商和软件服务商。
数据分析机构IDC的分析师点出了具体的缺口，网络安全团队往往不知道这些设备已经联网，“监控威胁情报的人和管理运营技术的人之间，存在巨大的可见性差距”。
这种模糊性直接解释了第二波攻击为何能够发生。
法国计算机应急响应小组（CERTFR）在10月中旬首波攻击后已发布建议，要求将暴露在公网的制冷控制系统断开，仅通过安全VPN重新连接。但三周后，比利时、瑞典、爱尔兰的门店以几乎相同的方式被击中。
保险也没有提供兜底。标准网络保险通常不覆盖食物变质这类物理损失，保单在网络安全与财产损失的衔接上也存在明显空隙，而超市的索赔还可能因未及时更新软件受影响。
法规的覆盖同样有限。欧盟《网络弹性法案》自今年9月起要求制造商报告被积极利用的漏洞，但不强制制造商修复已停产产品，本次受影响的丹佛斯控制器均不在强制修复范围内。且欧盟网络安全框架的重心仍在能源、交通、金融等关键基础设施，零售是一个相对盲区。
制度层面的协调已经启动。欧盟委员会在11月3日召集了两场危机会议，目的是交换信息并研究“如何集体应对”。但会议也只能在现有框架内协调，而非填补框架本身的缺口。
(责任编辑：朱晓航)