巴黎。2026年11月初，法国献血服务机构Établissement français du sang (EFS)的冷却基础设施遭到定向网络攻击，暴露了关键医疗基础设施中联网楼宇技术的脆弱性。攻击者通过外部制冷服务提供商入侵远程维护系统，并大规模篡改了血浆冷冻机的目标温度。虽然此次事件未造成任何健康损害，但这一技术漏洞表明，医疗技术、楼宇自动化和外部服务提供商连接之间的接口存在系统性缺陷。
攻击途径：远程维护作为入口点
据多家欧洲媒体和法国卫生部门报道，此次攻击的目标是制冷设备供应商Coolworld的远程访问系统，该系统为法国血液服务中心（EFS）三个区域站点的冷藏室监控系统提供访问权限。攻击者篡改了原本设计温度为零下30摄氏度的冷冻机程序，将目标温度设定在高达110摄氏度。现有监控技术检测到了目标温度与实际温度之间的差异；值班技术人员及时发现夜间温度升高并采取了应对措施。EFS确认，所有血液制品和样本均未受损，献血和分发工作也未受影响。
法国国家网络安全局 (ANSSI) 和卫生部已展开调查。此次事件是欧洲多个国家商业制冷系统遭受的一系列攻击之一，攻击者通过远程访问操纵了这些系统的温度。
血库信息技术的具体漏洞
对该事件的技术分析揭示了血库及相关输血医学机构信息技术安全中几个相互关联的漏洞类别。
首先，运营技术（OT）和信息技术（IT）正在融合。楼宇自动化和制冷系统控制是典型的运营技术（OT）系统，过去它们被认为是相互独立的。然而，通过远程维护门户和基于云的监控平台，连接性的增强正在消除这种物理上的隔离。血液供应网络安全方面的文献明确指出，这种融合是一个关键风险：输血医学领域的技术革命越深入，供应链和储存条件被操纵的攻击面就越大。《美国血液学杂志》（American Journal of Hematology，DOI：10.1002/ajh.27479）上的一篇综述文章强调，血库必须调整其安全架构以适应日益增强的连接性，同时又不影响血液供应的可用性。
其次，存在供应链依赖性问题。此次攻击并非针对EFS基础设施本身，而是针对外部制冷服务提供商的系统。这种通过第三方进行攻击的模式在医疗保健行业十分常见，而且后果尤为严重，因为血库通常依赖于制冷技术、实验室自动化和输血软件的专业供应商。法国国家药品与健康产品安全局（ANSM）对输血链事件的分析表明，服务于多个机构的中央软件系统的配置本身就是一个风险因素；配置错误或未经授权的参数更改可能会对产品质量造成严重后果。
第三，基于警报的检测是最后一道防线。此次攻击未造成任何损失，得益于温度监控系统的正常运行和人员的及时反应。这也凸显了一种脆弱的依赖性：检测能力的前提是警报链完整无缺，且工作人员能够正确解读信号。在另一起涉及血液分离机的输血医学事故分析中，法国国家药品与健康产品安全局（ANSM）明确指出了“轻视警报信号”的危险性；对关键参数不进行阻塞式警报通知，可能会导致忽略重大偏差。对于信息安全而言，这意味着检测系统本身也容易受到操纵：任何能够入侵遥测系统的人都可以抑制警报或伪造正常的数值。
研究现状及应对措施
目前关于血库冷链安全的科学文献有限，但正在发展中。一篇发表于2026年的预印本（Europe PMC，DOI：10.21203/rs.3.rs-8756732/v1）提出了一种基于物联网的血库冷链多层异常检测框架。该框架旨在检测的不仅是统计异常值，还有诸如欺骗、重放和抑制等有针对性的遥测数据篡改。该方法集成了每个传感器的时间检测器，并在传感器和设备漏洞评分之间进行交叉验证。作者指出，诸如隔离森林或基于CVSS的风险模型等传统方法无法可靠地区分恶意数据篡改和运行异常。这项研究恰好弥补了法国事件所暴露出的这一空白：目标值的篡改是一种蓄意的、非统计异常，只能通过上下文合理性检查或人工干预才能检测到。
在组织层面，法国军方医疗部门已通过“DEFNET 2025”演习模拟了中央血液制品鉴定系统HEMATOS故障的情景。演习表明，切换到降级运行模式（采用人工记录和双重核查）是可行的，但会造成巨大的人员和程序负担。对于法国联邦国防采购局（EFS）而言，当前事件带来了类似的挑战，只是规模较小：冷链保持完好，但远程维护访问的完整性以及对服务提供商的合同保护将成为关键问题。
分类和未解决的问题
对EFS制冷系统的攻击并非孤立事件，而是欧洲零售和医疗保健行业制冷系统遭受的一系列OT攻击浪潮的一部分。此次攻击的特殊之处在于目标的敏感性：血浆是一种稀缺、时效性强且至关重要的资源，不当储存会对患者构成直接风险。由于技术监控和人工警惕的协同作用，篡改行为在造成任何损害之前就被发现——这道防线不容忽视。
目前尚不清楚Coolworld和EFS远程维护接入点的具体配置、安全漏洞的程度，以及EFS其他地点是否受到影响。ANSSI的调查将解答这些问题。无论最终结果如何，此次事件都暴露出一个结构性缺陷：血库的网络安全策略传统上侧重于实验室和输血软件以及捐献者数据的完整性。而作为产品质量的物理前提条件，楼宇自动化和制冷技术往往被忽视——尽管它们可以通过远程维护接入点访问，因此也容易受到攻击。血库健全的弹性策略必须明确包含运营技术（OT）层，通过网络分段和对服务提供商实施严格的访问控制来缩小攻击面，并加强警报链以防范篡改企图。
信息来源说明：关于此次事件的最详细信息来自瑞士广播电视台（SRF）、法国广播公司（BR）和德国广播电台（Deutschlandfunk）等媒体的报道。截至分析时，尚无针对此次攻击的原始科学出版物；引用的关于血液供应网络安全和物联网冷链的文献仅提供理论框架，而非针对具体案例的实证数据。法国国防部的DEFNET演习报告可作为法国血液供应系统韧性规划的背景文件，而非针对当前事件的报告。
