CISA／FBI／官方：全球工業冷藏與冷鏈監控遭攻擊——可遠端改溫並強制持續加熱／除霜；Unit 42 指法國約七百家超市首波受創

重點摘要

美國網絡安全及基礎設施安全局聯同聯邦調查局、衞生及公眾服務部、農業部與運輸部於二零二六年十一月五日發表聯合事實說明，指全球有惡意網絡行為者針對工業冷藏與冷鏈監控系統，目標包括零售超市及冷藏設施的電子溫度控制器與商用冷藏控制器。攻擊者或會利用未修補或可從互聯網存取的控制器弱點，遠端更改設定並強制設備進入持續加熱與除霜循環，可能造成大量存貨損失、設備損毀，甚至構成火災風險。Palo Alto Networks Unit 42 於十一月六日的研究綜述指，首波攻擊於十月十一至十二日夜間主要針對法國約七百家超市，十一月一日至二日夜間再波及至少十個歐洲國家、逾一百至一百一十五個零售點；本文事實已對照該份 CISA 聯合事實說明與 Unit 42 原文核實。

CISA／FBI／官方：全球工業冷藏與冷鏈監控遭攻擊——可遠端改溫並強制持續加熱／除霜；Unit 42 指法國約七百家超市首波受創

美國網絡安全及基礎設施安全局聯同聯邦調查局、衞生及公眾服務部、農業部與運輸部於二零二六年十一月五日發表聯合事實說明，指全球有惡意網絡行為者針對工業冷藏與冷鏈監控系統，目標包括零售超市及冷藏設施的電子溫度控制器與商用冷藏控制器。攻擊者或會利用未修補或可從互聯網存取的控制器弱點，遠端更改設定並強制設備進入持續加熱與除霜循環，可能造成大量存貨損失、設備損毀，甚至構成火災風險。Palo Alto Networks Unit 42 於十一月六日的研究綜述指，首波攻擊於十月十一至十二日夜間主要針對法國約七百家超市，十一月一日至二日夜間再波及至少十個歐洲國家、逾一百至一百一十五個零售點；本文事實已對照該份 CISA 聯合事實說明與 Unit 42 原文核實。

CISA／FBI／官方：全球工業冷藏與冷鏈監控遭攻擊——可遠端改溫並強制持續加熱／除霜；Unit 42 指法國約七百家超市首波受創

美國五個聯邦機關在十一月五日同步發出警示：工業冷藏與冷鏈監控不再只是後勤設備，而是可被遠端改寫、並把實體後果帶到超市貨架與醫療冷藏庫的關鍵系統。來源真實性已驗證：攻擊手法類別、影響範圍表述與防護建議，均摘自 CISA、聯邦調查局、衞生及公眾服務部、農業部與運輸部的聯合事實說明及同日新聞稿；歐洲事件規模、溫度數字與暴露面統計，則摘自 Unit 42 於十一月六日發表、並於太平洋時間當日十二時三十九分（香港時間十一月七日凌晨四時三十九分）更新的研究綜述，該文亦直接連向上述 CISA 文件。本文說明官方觀察到的威脅輪廓與加固要點，不提供任何可重現的攻擊步驟。

引言

對香港讀者而言，這則警示的意義並不在於歐洲超市的新聞標題，而在於官方把「連上公眾互聯網的溫度控制器」寫成關鍵基建風險。食品零售、藥品與血液製劑冷藏、化工原料控溫，以及冷藏運輸，都依賴同一類可遠端監控溫度、記錄日誌、管理除霜循環並優化能耗的系統。CISA 把涉及行業明確寫成醫療及公共衞生、化工、食品及農業，以及運輸系統。

官方沒有點名香港或亞洲受害機構，也沒有在事實說明裡公布全球受害點數目。防衛團隊不應把「未點名」理解成「未暴露」，而應按 CISA 列出的行為與防護動作，檢查自身或供應商的冷藏控制器是否仍可從公眾互聯網抵達。

一、核心事件：五部門聯手警示全球冷鏈控制器

CISA 等五個撰寫機關寫明：它們知悉有惡意網絡活動，正於全球針對工業冷藏與冷鏈監控系統。這些系統被廣泛用於醫療及公共衞生、化工、食品及農業以及運輸系統，包括冷藏運輸服務，功能涵蓋自動及遠端溫度監控、持續溫度記錄、除霜循環管理與能源優化。

在「威脅」一節，官方進一步聚焦：行為者正針對零售超市及冷藏設施內的電子溫度控制器與商用冷藏控制器。攻擊者或會利用未修補、或可從互聯網存取的控制器上的漏洞或弱點，遠端更改設定，並強制設備進入持續加熱與除霜循環，從而造成廣泛的存貨損失與設備危害。

CISA 同日新聞稿援引聯邦調查局網絡分部行動主管 Brett Leatherman 的說法：工業冷藏與冷鏈監控系統保護食品、藥品及其他對溫度敏感的產品，因而成為惡意行為者眼中有吸引力的目標；該局觀察到這些系統在全球多個關鍵基礎設施行業遭到針對，令存貨與設備陷於風險。CISA 網絡安全署理執行助理主任 Chris Butera 則表示，該局正與政府、業界及國際夥伴緊密合作追蹤有關威脅活動，並呼籲依賴冷藏與監控系統的機構假設自己也可能成為目標，立即參閱聯合事實說明並堵塞已知安全缺口。

技術細節

CISA 把可能的利用途徑歸納為三類：繞過認證、任意程式碼注入，以及薄弱設定。成功利用後，行為者可以改變溫度，後果包括影響系統使用壽命、構成火災風險、造成存貨損失，或在產品於不安全儲存條件後仍被食用時間接傷害消費者；另外也可令營運方失去對當前溫度的可見度，即官方所稱的「拒絕檢視」狀態。

事實說明並未點名具體控制器型號，也未確認任何入侵叢集名稱。與規模及現場後果相關的數字，來自 Unit 42 十一月六日以公開報道為基礎的綜述：該團隊寫明，自二零二六年十月起至少已持續監察針對歐洲冷藏系統的網絡攻擊；身分未明的威脅行為者取得冷藏控制器的未授權存取，並把設備設為除霜模式，導致該地區數以百計超市須丟棄變壞食品。首波發生於十月十一至十二日夜間，主要針對法國約七百家超市；其後在十一月一日至二日夜間再出現一波，擴展至至少十個歐洲國家，影響逾一百至一百一十五個零售點。Unit 42 並指，法國當局近日披露醫療設施使用的冷藏系統亦受到波及，但撰文當時未有證據顯示血液製品因此變壞。

就溫度與實體破壞，Unit 42 引述多方來源指，超市相關活動中，目標冷藏設備的溫度最高被調高至攝氏五十度（華氏一百二十二度），部分個案更引發火災。該文同時寫明：初始入侵途徑目前仍未確認；外界普遍猜測受影響設備可能運行存在漏洞的軟件版本，及／或使用製造商提供、攻擊者輕易識別的預設憑證。十一月三日，親俄黑客行動主義組織 NoName057(16) 與 Z-Pentest 據報透過 Telegram 發文聲稱負責，Unit 42 註明這些說法目前尚未核實。

在暴露面方面，Unit 42 以 Cortex Xpanse 在十一月五日至六日識別出逾五千台暴露於互聯網、且由法國國家網絡安全機構 CERT-FR 上月警報所列製造商生產的設備，並強調這並不代表這些設備必然運行可被利用的脆弱軟件版本。該文又指，鑑於惡意活動主要影響法國設備，團隊檢視了十月一日以來法國互聯網暴露設備的趨勢，並觀察到三個明顯下降時段；原文以圖表展示，本文不另行解讀圖中未以文字寫出的數字。Unit 42 所引的 CERT-FR 警報（CERTFR-2026-ALE-012）本身寫明，該機構知悉多宗針對 Danfoss AK-SM、AK-SC 系列，以及 Copeland xweb 與 Dixell xweb 遠端冷藏控制器的入侵，並在十月二十九日展開新一輪通知行動；CERT-FR 亦指出，把管理介面暴露於互聯網有違良好作業，並提醒針對這些設備的攻擊活動很可能仍在進行。

二、技術原理深度解析

這類攻擊之所以能把「網絡入侵」迅速轉成「貨品變壞」或「設備起火」，關鍵不在於新的零日名稱，而在於控制回路本身被設計成可遠端改寫。冷藏控制器一旦接受遠端指令，就可以調整溫度設定、啟動或延長除霜與加熱循環；若攻擊者再令營運方看不到真實溫度，現場人員便難以靠儀表發現異常。CISA 把後一種後果單獨寫成拒絕檢視，正是提醒防衛者不只要守住「誰能改設定」，也要守住「誰能相信自己看見的讀數」。

官方沒有示範具體利用方法，只點出三條常見入口：認證可被繞過、可注入任意程式碼，以及設定薄弱——後者與 Unit 42 提到的「預設憑證、設備暴露於公眾互聯網」彼此呼應。對防守一方而言，最有效的第一步並不是蒐集更多入侵指標，而是收窄攻擊面：CISA 把「消除公眾互聯網暴露」列為首項緩解措施，要求尤其不要把控制系統設備或控制器面板暴露於互聯網；若必須遠端存取，應以防火牆或邊緣設備保護，並更新至最新版本。這與 CERT-FR 要求撤回互聯網暴露、只經安全虛擬私人網絡或受保護網絡恢復存取的方向一致。

CISA 其餘建議圍繞營運技術與資訊科技的分隔：以專用營運技術虛擬區域網絡隔離相關設備，使其不與商務網絡混用；更改預設密碼、加強密碼並在可行處實施抗釣魚的多重要素驗證；保持韌體更新，並為製造商不再支援的生命週期終結設備建立識別、退役與更換流程；以裝置及互聯網協議位址允許清單，限制只有獲授權者才能改動設定；把備份保存在場外且離線的位置並加以測試；啟用日誌並定期檢視異常活動，若營運技術資產沒有標準日誌，則收集資產之間的網絡流量與通訊；同時為下游設備訂立合理的設定點上下限，並在偏離安全範圍時發出警報。上述措施對照 CISA 與美國國家標準與技術研究院共同提出的跨行業網絡安全績效目標。

換言之，官方把這場威脅理解成「可從互聯網抵達的實體控制面」，而不是單一軟件漏洞公告。沒有把控制器移離公眾互聯網，後續的修補、身分防護與日誌稽核都會在已經對全世界敞開的介面上進行。

四、日常應用場景

1. 開發者與技術團隊

若團隊為超市、物流、醫院或食品廠建置遠端監控、溫度上報或供應商維運通道，應把控制器管理面視為營運技術資產，而不是普通的物聯網儀表板。開發與維運人員應清點哪些接口仍有公眾互聯網位址、遠端桌面或未經限制的管理埠，並檢查預設帳戶是否仍可使用。CISA 提醒：即使需要讓冷凍工程承辦商遠端協助，亦應把存取放在已更新的防火牆或邊緣設備之後，而不是把控制器面板直接掛上互聯網。日誌若出現非辦公時間的設定點變更、異常除霜或加熱指令，應立即與現場溫度讀數交叉核對，以防出現拒絕檢視。

2. 企業與隱私敏感行業

食品零售、餐飲供應鏈、製藥、生物樣本與血液製品存放、化工，以及經營冷藏車隊或冷庫的物流企業，都屬於 CISA 點名的使用場景。企業不應只檢查總部資訊科技網絡，還須把營運技術網段、供應商遠端維運帳戶與生命週期終結的舊控制器納入資產清單。更改預設密碼、實施抗釣魚的多重要素驗證、為設定變更設立允許清單，以及把備份放在場外且離線的位置，都是事實說明列明的即時動作。醫療機構若擔心醫療物資供應鏈中斷，CISA 新聞稿及事實說明亦提供衞生及公眾服務部的通報途徑。

3. 一般用戶

一般消費者並不是這份事實說明的直接技術對象，但後果可能出現在超市貨架、餐廳冷盤或藥品保存環節。CISA 明確寫出：若產品在不安全的儲存條件後仍被食用，消費者可能間接受害。公眾能做的，是留意食品與藥品的保存狀況及機構發出的回收或停售通知；真正的補救責任仍在機構一方：收斂控制器暴露面、隔離營運技術網絡，並為異常溫度設定建立警報。

4. 香港與亞洲市場視角

CISA 的地理表述是「全球」，Unit 42 則把已發生的實體破壞主要放在歐洲，尤其是法國超市，並記錄十一月初向至少十個歐洲國家擴散的第二波。香港作為食品進口、轉口冷鏈與區域醫療物資樞紐，超市、食肆中央廚房、藥品批發、醫院血液及疫苗冷藏，以及遍佈工業區的冷庫，都使用同類可遠端監控的溫度控制器。不少場地依賴冷凍工程承辦商遠端巡查；若該通道直接暴露於互聯網，風險模型與歐洲今次事件相同。亞洲機構宜以 CISA 的暴露面收斂與營運技術隔離清單自查，而不是等待一份點名本港的受害名單。Unit 42 已觀察到法國暴露設備在十月以後明顯下降，顯示公開預警之後，撤回互聯網暴露仍然有效。

五、專業評價與潛在考量

優勢

這次更新的價值，在於美國五個與食品、醫療、農業及運輸直接相關的機關，把「冷藏控制器被遠端改溫」寫成跨行業的關鍵基建問題，而不再視之為單一零售事故。事實說明同時給出可操作的防守語言：持續加熱與除霜、火災與存貨損失、拒絕檢視，以及由消除互聯網暴露、隔離營運技術、憑證治理到設定點上下限的完整清單。Unit 42 則補上公開報道中的時間線與規模——法國約七百家超市的首波、其後至少十國逾一百至一百一十五個零售點、醫療設施冷藏系統亦受波及但未見血液製品變壞——並以 Cortex Xpanse 指出，僅就 CERT-FR 所列製造商而言，十一月五日至六日仍能在互聯網上看到逾五千台設備。CERT-FR 對 Danfoss、Copeland 與 Dixell 等遠端控制器遭入侵的確認，也讓營運方知道該從哪一類資產開始清點。

需要留意的地方

CISA 沒有公布受害機構數目，沒有點名品牌或國家，也沒有確認攻擊者身分；任何超出血緣的全球規模推斷都不屬於原文。Unit 42 寫明初始入侵途徑尚未確認，親俄組織的聲稱負責亦未核實，其五千台暴露設備統計更不等于「五千台皆可被入侵」。該文部分規模數字來自對公開報道的綜述，防衛團隊應以原文為準，而不要把媒體轉述的損失金額或特定品牌市佔自動寫進內部報告。CISA 亦在免責聲明中強調，文件僅供參考，並不構成對任何商業實體或產品的背書。把控制器移離互聯網之前，機構還須一併檢視與冷凍承辦商的遙測及保險條款，以免在切斷遠端上報時觸發合約或理賠問題；CERT-FR 亦有提醒營運方在切斷互聯網數據上報前核對保險合約條件。

結語

美國五個聯邦機關把全球工業冷藏與冷鏈監控系統列為正在遭受針對的目標，並警告攻擊者可利用未修補或暴露於互聯網的控制器，遠端改溫並強制持續加熱與除霜，從而造成存貨損失、設備危害甚至火災。Unit 42 記錄了十月中旬以來以法國為起點、其後擴至多個歐洲國家的兩波超市攻擊，以及醫療設施冷藏系統亦曾受影響、但未見血液製品變壞的官方披露。對香港及亞洲的食品、醫療與物流機構而言，這是一則必須對照自身營運技術暴露面的區域警報：先把控制器移離公眾互聯網，再補上身分防護、網段隔離與異常設定點偵測。

企業若要檢視營運技術與資訊科技的分隔、對外暴露面及雲端安全架構，可參考 YSK Limited 的雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security）。

參考來源

延伸閱讀 · 相關服務與產品

相關文章