一个“admin”就让法国超市集体解冻？欧美关键系统还有多少离谱密码？
10月11日夜间，法国数百家超市的制冷系统遭遇大规模网络攻击，冰柜和冷藏柜被远程加热到50摄氏度，大量生鲜和冷冻产品一夜报废，部分设备甚至起火。巴黎检察官办公室12日表示，一场“大规模”攻击影响了法国多家大型食品零售商的联网制冷设备，法国总理勒科尔尼已指示法国国家信息系统安全局（ANSSI）展开调查。
黑客利用制冷控制系统的漏洞，远程启动设备的强制除霜功能，并将温度设定为50摄氏度，导致设备连续数小时加热，无法维持相关商品所需的低温存放环境。受影响的控制器来自丹麦丹佛斯（Danfoss）、美国谷轮（Copeland）和Dixell三家公司，法国国家网络安全局确认丹佛斯提供的软件存在漏洞。
据意大利媒体Francia24报道，该漏洞被编号为CVE-2025-41450，系统管理员用户名是“admin”，密码则是当天的日期，而且每天自动更新，只要输入“admin”加当天日期就能拿到管理员权限。丹佛斯2025年8月就发布了修复补丁，但显然没有被普遍应用，法国境内一度有超过1700个受影响的丹佛斯软件实例暴露在互联网上。
家乐福旗下80家超市遭攻击，在法国经营约490家门店的Monoprix称约5%的门店受影响，连锁超市Intermarché所属Les Mousquetaires集团旗下约150家门店的制冷设备夜间被调至50摄氏度并持续6小时，所有受影响食品均已丢弃处理。有企业对法国BFM电视台表示，这场“史无前例”的袭击单日给法国造成的损失将达数千万欧元。法国商业调频电视台援引业内消息人士的话称，全国范围损失可能高达数百万欧元。
有西班牙博主总结说，家乐福已承认近80家门店受影响，Intermarché和Netto则超过300家，“最有趣的是他们入侵系统的方式，用户名‘admin’，密码则是当天的日期，这里没有任何复杂攻击，但同时失败了好几件基本事情”。这位博主列出的“基本事情”包括：生产环境使用默认或可预测的凭据，控制物理机器的OT系统直接暴露在互联网上（安全公司Claroty统计有2765个），软件多年未打补丁，冷冻控制器和网站一样容易访问。结论是，“任何连接到网络的东西都是计算机系统，必须像对待计算机系统一样处理”。
无独有偶，就在法国事件前后，北欧也爆出一桩因简单密码酿成的重大泄露。丹麦中央人口数据库（CPR）发生重大数据泄露，约880万名登记人员的姓名、住址及CPR号码遭未授权访问。黑客是通过一家只有两名员工、却拥有访问丹麦国家人口数据库权限的IT公司Pays ApS进入系统的，该公司至少三个账户使用了“123456”作为密码，其中一个还是管理员账户。据丹麦《政治报》报道，自称发动攻击的黑客称，他利用的是一名前员工泄露的登录凭证，密码就是“123456”，并在21天内进行了超过1400万次CPR查询。
奥尔堡大学计算机工程教授延斯·米鲁普·佩德森对此直言，这家公司“根本没有安全性可言”，“出事是迟早的事”。事件曝光后，已有近百万丹麦人设置信用警告，以防身份信息被冒用。
对“用最随便的密码守最要紧的门”这种操作，国内外网友的观感相当一致。有国外网友吐槽，“拿123456当一国最重要数据库的密码，这安全水平真是绝了”。
如果以为这只是孤立事件，那就低估了问题的普遍性。梳理近年欧美公开报道，类似“简单密码闯大祸”的案例可以排成长队。
今年8月下旬，美国约十几家军方超市几乎同时出现制冷故障，亚利桑那州华楚卡堡基地的冰柜一夜之间进入除霜模式，冷冻库存报废，美国国防军需署确认存在“可能的制冷中断”，陆军和空军刑事调查人员已介入调查。安全研究人员认为这起事件与法国超市事件存在相似性。
今年7月26日至27日，美国明尼苏达州30多个社区水系统遭协同网络攻击，调查发现攻击者没有使用复杂恶意软件，而是定位到暴露在互联网上的PLC控制器，用默认凭据登录后直接篡改控制逻辑，布雷厄姆一度限制居民用水，梅普尔普莱恩宣布进入紧急状态。安全厂商分析认为，此次攻击疑似与伊朗背景的黑客组织CyberAv3ngers有关，该组织惯用手法就是利用Unitronics Vision系列PLC的默认密码“1111”入侵。
更早的2021年2月，美国佛罗里达州奥德马尔市（人口约1.5万）的水处理厂遭黑客远程入侵，攻击者通过员工共享的远程访问软件TeamViewer进入系统，把水中氢氧化钠的配比从100ppm骤然调高到11100ppm，提高了100多倍，所幸被当班员工及时发现并阻止。（2023年和2024年，伊朗黑客被指篡改多个美国水处理系统，更早的2013年，伊朗还被指入侵纽约一座水坝的控制系统。
据网络安全媒体Water Online报道，2026年7月那个周末，英国一座小型发电厂被以相似手法完全下线，停电长达四天，英国国家网络安全中心为此专门向能源企业高管通报，攻击得手的原因之一就是默认密码从未更改。
另据康奈尔大学网络安全团队的研究文件，2023年11月美国宾夕法尼亚州一座服务6000人的远程增压站被入侵，攻击者使用的就是公开可查的默认密码，操作员被迫切换到手动模式运行。
从超市冰柜到国家人口数据库，从水厂到发电厂，一次次被“猜中”的密码背后，到底是技术能力不足，还是安全态度缺失？像“admin”和“123456”这样的密码，还能守住多少关键系统的门？欧美人为什么对待严肃事情这么不严谨呢？
