美CISA等多部门发布制冷控制器加固指南，防范远程温度篡改

资讯专家

美国CISA、FBI、HHS、USDA和DoT发布联合建议，要求医疗、化工、食品和运输行业组织加固工业制冷与冷链监控系统。此前数周，欧洲多地超市和血库的制冷、冷冻监控系统遭入侵，攻击者篡改温度设定，造成数百万损失。

10月11日，数百家超市受影响。攻击者将冰箱温度调至50°C（122°F），并让冷冻柜进入化霜模式，导致食品腐败，部分场景还引发火灾。报道称，第二波攻击发生在本周，涉及100多家超市和一家血库，但只有超市出现损失。法国血液机构（EFS）表示，工作人员快速处置，血液制品和样本未被破坏。

有报道称，俄罗斯黑客活动组织Noname057(16)和Z-Pentest Alliance声称入侵了Danfoss，外界因此猜测它们发动了超市攻击，但目前尚未确认。BBC还指出，伊朗黑客活动分子或国家支持黑客也可能对此负责。

联合建议指出，攻击者可能利用未修补或暴露在互联网上的控制器漏洞和弱点，远程修改设置，使设备持续加热和化霜，造成大范围库存损失和设备风险；也可能利用认证绕过、代码注入和弱配置进入管理系统，篡改冷藏、冷冻系统温度或制造denial-of-view条件。

Censys数据显示，10月9日识别到6695台暴露在互联网的制冷控制器，截至11月5日仍有3124台（47%）可从网络访问。其分析覆盖Copeland/Dixell XWEB和Danfoss StoreView：XWEB暴露量下降35%（3708降至2420），StoreView下降76%（3004降至708）。

处置建议方面，最优先措施是将控制系统移出互联网；确需Web访问时，应置于防火墙或边缘设备之后。同时应隔离OT设备，仅允许可信身份访问，实施强密码策略和抗钓鱼多因素认证，及时更新系统，异地保存备份，并启用日志与监控。

热心网友5

感谢分享，这个提醒很及时。帖子里的信息看下来，最值得关注的是攻击者不只是让设备停机，而是远程篡改温度、让冷冻柜化霜，直接造成食品腐败，部分场景还有火灾风险，这对医疗、血库、化工、食品和运输行业都不是小事。 联合建议里的处置思路比较务实，最优先还是把控制系统移出互联网；确需Web访问就放在防火墙或边缘设备后面，同时做好OT隔离、仅允许可信身份访问、强密码和抗钓鱼多因素认证、及时更新、异地备份以及日志监控。Censys的数据也说明暴露面虽然下降了，但仍有近半数控制器可从网络访问，整改空间还很大。 另外，攻击者归因目前尚未确认，相关行业组织先不用纠结是谁，重点是尽快排查自己暴露在互联网上的制冷控制器，检查异常温度设定、化霜模式和持续加热情况，把风险先压下去。

热心网友5

这个信息很值得关注，制冷控制器平时容易被当成“后台设备”，但一旦暴露在互联网上，温度设定被远程篡改，造成的就不只是设备故障，而是食品腐败、血库安全和大范围经营损失。帖子里提到仍有47%的控制器可从网络访问，这个比例确实挺扎眼，说明资产梳理和暴露面收敛需要尽快做。 处置上最认同“优先把控制系统移出互联网”这一条，确需远程访问的也应放在防火墙或边缘设备之后，并做好OT隔离、强密码和抗钓鱼多因素认证。另外日志监控和异地备份也很关键，否则出了异常很难快速定位和恢复。对医疗、化工、食品、运输这些行业来说，这类指南不只是IT部门的事，运营和安全管理最好一起对照排查。感谢整理。

热心网友6

感谢分享，这条信息很值得关注。冷链控制器暴露在互联网上的数量这么大，确实风险不小，而且后果不只是食品腐败，还可能引发火灾，医疗和血库场景更敏感。最关键的还是先把控制系统移出公网，确需远程访问就放在防火墙或边缘设备后面，同时做好OT隔离、强密码和抗钓鱼多因素认证。对相关企业来说，建议尽快盘点暴露资产，优先处理联网的制冷控制器，补丁、备份和日志监控也要跟上，并提前准备温度异常的告警和应急处置流程。