フランスの大手スーパーチェーンがサイバー攻撃を受け、食品在庫に影響

フランス国内の複数のスーパーマーケットチェーンが、全国の店舗の冷蔵設備を狙ったサイバー攻撃を受けたと報じられています。

被害を受けた企業の一つが、Hyper U、Super U、U Express、Utileの各ブランドでスーパーを展開する小売協同組合のCoopérative Uです。

Coopérative UのCEOであるDominique Schelcher氏は、10月12日にXへ投稿し、10月11日からネットワーク内の複数の店舗がサイバー攻撃の影響を受けていることを認めました。

同氏は「当社のチームは冷凍・冷蔵設備の専門業者と連携し、一刻も早く状況を復旧させるべく総力を挙げて対応しています。この攻撃の全容を明らかにするには、調査が必要です」と述べました。

また、冷蔵システムは「生鮮食品の保存とフランス国民への食料供給に欠かせないもの」だと強調し、今回の攻撃は「極めて重大で、前例がなく、容認できない」と非難しました。

攻撃者は冷蔵ソフトウェアのプロバイダーを侵害した可能性

フランスのニュース専門チャンネルBFMTVは、侵害されたシステムはデンマークの冷蔵システムプロバイダーであるDanfossが管理していたと報じました。

同メディアによると、攻撃者は同社の冷蔵制御ソフトウェアの古いバージョンを標的にしたといいます。

BFTVは「ハッカーは多数のスーパーの冷蔵システムに対し、強制的な霜取りサイクルを遠隔から起動させることに成功したとみられる。設定温度は最高50℃（122°F）に達した」と報じています。

BFTVによると、アルザス地域のアグノーにあるIntermarchéとSuper Uの2店舗だけでも、この件で既に27万ユーロ（30万2,000ドル）相当の商品が失われました。

同メディアは、Groupe Mousquetaire傘下のIntermarché 150店舗が影響を受けたと見積もっています。

このほか、E. Leclerc、Carrefour、Monoprixなど国内の主要小売チェーンも被害を受けたと伝えられています。小売専門ニュースサイト「Je bosse en grande distribution」の執筆者Jonathan Le Borgne氏が報告しました。

Clarotyの調査がDanfoss製冷蔵コントローラーのセキュリティリスクを指摘

Danfossの製品には過去にも重大なサイバーセキュリティ上の脆弱性が見つかっています。CVE-2023-25915、CVE-2025-41450、CVE-2025-41451、CVE-2025-41452などがその例で、一部は攻撃者が冷蔵制御システムの特権アクセスを取得し、物理的な設備を操作できるおそれがあるものでした。

さらに、2026年8月のDEF CON 34でClarotyのTeam82が発表した研究では、侵害されたAK-SM 800Aコントローラーが温度の読み取り値を偽装しながら冷却を停止できることが示されました。コールドチェーンの障害が隠蔽される可能性もあります。この結果は、十分なセキュリティ対策や認証、ファームウェア更新のないまま産業用冷蔵システムを公衆インターネットに公開することの現実的なリスクを浮き彫りにしています。

10月13日、同社は冷凍冷蔵技術の3日間の見本市「Chillventa」（ニュルンベルク）に出展します。「統合サイバーセキュリティ機能」を備えた新型のiC7-HVACRドライブを披露する予定です。

本件は現在も状況が進展しています。Coopérative U、E. Leclerc、Intermarché、Danfossにはコメントを求めて問い合わせています。

画像クレジット: NeydtStock / Pierre-Olivier / Shutterstock.com