法国超市冷藏系统被远程操控升温起火，作者分析药厂温控设备联网风险与自查要点

转自| 蒲公英Ouryao

撰稿| 戴绪霖

2026年10月11日夜间，法国数百家超市的联网冷藏系统被远程操控，温度被强制推到50℃，生鲜冷冻食品大量报废，个别门店出现火情；西班牙、葡萄牙、波兰、德国、比利时也传出同类风险迹象。

公开报道称，法国国家网络安全局在丹麦丹佛斯相关软件中发现漏洞。厂商回应：多数受影响设备为老旧型号，长期建议升级固件。

刺痛制药人的不是超市赔了多少钱，而是攻击路径太普通：一条为“方便运维”打开的远程通道，夜里成了纵火通道。

攻击者不必懂GMP，只要懂你的端口、账号和老旧固件。

一、药厂的“冷”，同样连着网

超市丢的是牛奶和冰淇淋；药厂若失守，丢的可能是一批药、一项稳定性结论、一条放行依据。

制药现场的温控生命线远不止冰箱冷柜：原料/成品冷库、冷链箱、超低温冰箱、稳定性试验箱、培养箱、冻干机、灭菌柜、洁净空调、制药用水、环境监测系统，背后连着PLC、SCADA、传感器网关。

它们未必是“设备本体”，却直接决定温度、湿度、压差、粒子、灭菌参数、水系统电导率等关键质量属性。

三类隐形高危点要格外警惕。

其一，厂家/维保的长期远程接入。为响应快，许多设备留有远程诊断通道，默认账户、通用密码、调试口长期开着。方便是方便，后门也是门。

此次欧洲事件被利用的，正是“厂商—服务商—门店控制器”这条远程管理链。

其二，EOL老旧控制器仍在岗。说明书进了档案室，系统还在7×24小时运行；不能打补丁，厂商也不再维护。

涉事Danfoss AK-SC 355早在2016年、AK-SM 800在2021年已生命周期终止，CERT-FR的建议很直接：断网或严格过滤访问。

其三，弱到不好意思写进SOP的账号。公开分析提到，相关联网控制器可被互联网直接访问，用户名为admin，密码甚至与当天日期有关。这类入口，脚本小子都能批量扫。

二、最可怕的不是停机，是“没人知道被动过”

超市冷柜升温肉眼可见；制药系统被入侵更阴的地方在于——攻击者可以不改产品，只改“证明产品合格的东西”。

比如：把冷库高温报警阈值悄悄抬高，让夜间偏差不触发；把稳定性箱补偿参数改一点，让趋势“好看”；删除或覆盖某段审计追踪；改动电子记录时间戳，让OOS调查对不上；在批记录同步到LIMS/MES前插一手；让备份看似成功、真出事恢复不出；盗取或加密处方、菌种/细胞株信息、供应商报价和临床数据。

这类事件的可怕不在“有没有泄密”，而在污染质量判断链：偏差调查可能查错方向，OOS可能放行，CAPA可能治错病。药也许没坏，但“我们相信它没坏”的依据被弄脏了。

在GMP世界，这几乎等同动摇地基。所以网络安全不该只归口信息部，而应纳入质量风险管理和数据完整性管理：它和批记录一样可追溯到人机料法环测，也和验证一样，必须证明“失控时仍能安全失败”。

三、让入侵成为不可能：进不来、走不远、改不动、早发现

先摊开资产，再谈防护。做一次OT/ICS资产清点：控制器、网关、工控机、传感器、远程模块、4G路由器、调试口。

重点标注：能否上公网？默认口令改过没有？是否EOL？谁有权限？很多事故不是高级攻击，而是企业连自家有多少门都数不清。

分区隔离，远程运维走窄门。温控设备原则上不直连公网。确需远程，走“申请—审批—限时—跳板机—VPN+多因素认证—录屏—复核”的流程，临时端口到期自动关闭；禁止长期挂一个远程工具没人管。能单向就不双向，能只读就不控制，能场内维护就不远程维护。

验证里加一页“安全工况”。IQ/OQ/PQ不只证明“能控温、能记录”，还要证明“被攻击或异常指令时仍安全”：断网、断电、时钟漂移、权限越界、传感器欺骗、报警风暴、固件回滚。补丁升级走变更控制：备份、风险评估、演练、回退、再验证。对EOL设备，要么替换，要么物理隔离并列为高风险。更重要的是硬件兜底：即便控制器发疯，也要有独立于网络的过温保护、机械/电气上限、失电安全态和本地手动越控。黑客能改软件设定，不该能改热熔保护。

监测盯行为，不只盯温度。谁在半夜批量下发温度设定？为什么某账号从异地登录改了冷库？把OT日志接进集中监控，建立基线；一旦偏离，自动冻结远程权限并触发质量事件评估。

四、制度上，把“人”这个最大漏洞补上

很多入侵不是破解技术，而是走进人事流程：员工离职账号还活着，供应商项目结束VPN还通着，班组图省事共用admin，密码贴在配电柜门内侧。

账号全生命周期管理。入职授权、转岗复核、离职当天禁用；供应商账号按项目开通、到期回收、季度复审。远程控制和高风险设备必须多因素认证，禁止共享账号，调试账号专人专用、全程留痕。

权限最小化与双人复核。能看报表就不给设定点，能设温度就不给改报警逻辑。温度上下限、报警屏蔽、校准系数、时间同步、审计追踪开关、批量参数下发，都要双人复核或电子审批。

定期审计“谁动了系统”。不只审GMP记录，也审失败登录、夜间登录、固件版本漂移、补丁例外、EOL清单——制度上给行为监测留一个固定出口。

合同加安全牙齿，文化允许说真话。供应商须披露漏洞、限期修复、事件通报；远程接入必须审批留痕。员工发现异常怕担责而瞒报，比漏洞本身更致命。要让夜里发现“温度曲线怪怪的”那个人敢说、愿说、说了不被穿小鞋。

五、质量人网络安全十条自查

1.所有冷库、冰箱、培养箱、稳定性箱、HVAC、水系统控制器，能否列出完整清单和联网方式？

2.有没有任何一台温控设备可公网访问，或经不明隧道远程控制？

3.还有没有出厂口令、admin/日期/品牌名这类弱口令？

4.离职员工、供应商账号是否24小时内禁用？

5.报警阈值、审计追踪、时间同步，能否被单人悄悄改掉？

6.关键设备是否有不依赖网络的硬件过温保护和本地越控？

7.远程运维是否限时、多因素认证、录屏、可复核？

8.EOL设备是否替换或物理隔离？

9.补丁升级是否走了变更控制、备份、回退和再验证？

10.夜间批量参数变更、异地登录、审计追踪沉默，会不会自动告警并触发质量评估？

超市冰柜升到50℃，毁掉的是货架；药厂的信任若被调到“失控档”，毁掉的是患者嘴边那杯水、针尖那剂药，以及行业赖以存活的四个字：值得相信。

网络安全的尽头，不是更厚的防火墙，而是让每一次远程开门都有人知道、每一次关键改动都有人复核、每一次异常沉默都有人追问。别等自己的冷库，也在凌晨被人轻轻点了一下“除霜”。

作者原创推荐

原料药生产，哪些设备不用进行清洁验证？

记录复核要求，你。。。

关于作者

戴绪霖，某药品生产企业药政法规负责人，二十年来，一直在药品注册和质量的一亩三分地耕耘不止。

声明：

根据《中华人民共和国广告法》和《互联网药品信息服务管理办法》相关规定，本平台内容不属于药品广告范畴。所涉药品信息仅作客观陈述，不具备商业推广属性。

本平台发布内容仅代表作者基于专业认知的学术观点，仅代表作者个人观点，不代表任何组织及本公众号立场，如有不当之处，敬请指正。如需转载，请注明作者及来源：蒲公英Ouryao