フランスのスーパー300店舗超がハッカーの標的に：冷凍・冷蔵システム攻撃が突きつけるセキュリティリスク

ハッカーがフランス全土のスーパーマーケットの冷凍・冷蔵システムを操作し、庫内温度の上昇と食品の腐敗を引き起こしたとされています。当局は、この攻撃に関連する火災などの被害報告について調べを進めています。

サイバー攻撃は10月12日に発生し、Intermarché、Netto、Coopérative U、E. Leclercなどが運営する数百店舗の冷凍・冷蔵システムが標的となりました。 AFPによると、攻撃者は冷凍・冷蔵設備の霜取りサイクルを作動させたとみられ、被害を受けた小売各社は生鮮品と冷凍品の在庫を廃棄せざるを得なくなりました。

「これらは、セキュリティ業界が破壊工作攻撃の次なる最前線として警告してきた種類のシステムそのものです」。HuntressのEMEA担当vCISO兼サイバーセキュリティアドバイザーであるMuhammad Yahya Patel氏は、冷凍・冷蔵システムをはじめとする制御系（OT）システムについて、eSecurityPlanetにこう語りました。

サイバーセキュリティ担当者にとって、今回の事案は重要な教訓を示しています。ランサムウェアやデータ窃取がなくても、侵害されたネットワーク接続機器が物理的な業務を妨害し、在庫を破壊し、安全上のリスクをもたらしうるということです。

フランス全土で冷凍・冷蔵システムが操作される

攻撃は10月11日から12日にかけての夜間に発生し、フランスの大手スーパーマーケットチェーン数社の冷凍・冷蔵システムに影響が及びました。

当初の報道では、標的となったIntermarchéの店舗は約150〜200店とされていました。その後の AFPの報道では、標的となったIntermarchéとNettoの店舗数は少なくとも300店に上るとされています。Coopérative Uの影響店舗数は約100店と報じられましたが、公表された推計にはばらつきがあります。

Le Mondeは、Carrefourの約80店舗が影響を受けたと報じました。また、 フランス語版のAFPの報道によれば、Monoprixは約30店舗が影響を受けたことを認めました。

E. Leclercは、冷凍・冷蔵設備のサプライヤーの1社を巡るサイバー攻撃により、複数の店舗でシステムに障害が生じたことを認めました。設備の損傷や在庫の損失が生じた店舗の総数は、依然として明らかになっていません。

IntermarchéとNettoを運営するLes Mousquetairesは、攻撃者が冷凍・冷蔵設備の制御を操作したと説明しています。グラディニャンにあるIntermarchéの店舗オーナーはLe Mondeに対し、冷蔵倉庫の温度が50℃（122°F）に達し、スプリンクラーが自動作動したと語りました。

Le Mondeはまた、攻撃者が霜取りサイクルを1時間から8時間に延長し、警報を遅らせて被害を拡大させたと報じています。この障害により、被害を受けた店舗は食品安全上の懸念から在庫の廃棄を余儀なくされました。

パリ検察は、この大規模サイバー攻撃について捜査を開始しました。 Reutersによると、検察は報告された被害に食品の損失や火災が含まれると述べており、捜査当局は被害者の特定と事案の全容解明を進めています。

フランスのセバスチャン・ルコルニュ首相は、国家サイバーセキュリティ機関ANSSIに対し、本件の調査と、ほかにも被害を受けた可能性のある組織の有無の確認を指示しました。

注目を集めているのは、デンマークのメーカーDanfossが提供する冷凍・冷蔵管理ソフトウェアです。

Danfossは、AK-SM800とAK-SC355の冷凍・冷蔵コントローラーが影響を受けたシステムであると特定し、AK-SM800の一部のバージョンでは古いファームウェアが稼働していたと説明しました。同社は顧客に対し、サポート対象外の旧型機器を交換し、サポート対象のシステムをアップデートするよう呼びかけています。

ルコルニュ首相に近い関係者によると、ANSSIはDanfossが提供するソフトウェアに脆弱性があることを確認しました。ただし、捜査当局は技術的な詳細を公表しておらず、攻撃者の初期侵入手法も確認されていません。

今回の事案は、Danfossの冷凍・冷蔵コントローラーに影響する、過去に公表済みの脆弱性にも疑問を投げかけています。

Danfossは2025年、ソフトウェアバージョン4.2より前のAK-SM 8xxAコントローラーに影響を及ぼす、重大度の高い認証の脆弱性 CVE-2025-41450を公表しました。

この脆弱性のCVSSスコアは8.2で、特定の条件下で認証を回避される恐れがあります。ただし、フランスのスーパーマーケットへの攻撃に関与したかどうかは、捜査当局によって確認されていません。

冷凍・冷蔵システム攻撃が浮き彫りにするOTセキュリティの課題

今回の攻撃は、データ窃取やランサムウェアによる暗号化ではなく、ネットワークに接続された制御システムを通じて物理的な設備を操作したとされています。サイバーインシデントが事業運営を直接妨害しうることを示した事例です。

業務用冷凍・冷蔵システムは、ネットワーク接続型のコントローラーや遠隔監視プラットフォーム、複数拠点の設定を一括で調整できるソフトウェアへの依存を強めています。

こうした機能は効率を高め、保守を簡素化します。その一方で、アクセス制御やファームウェア、ネットワーク保護が不十分な場合には、セキュリティリスクも生まれます。管理インターフェースを侵害した攻撃者は、機器の設定を操作して業務を妨害したり、物理的な損害を引き起こしたりできる可能性があります。

Patel氏は、冷凍・冷蔵インフラへの攻撃による経済的影響は、機器の故障そのものにとどまらないと警告しました。

「直接的な経済的影響は大きく、目に見える形で現れます」と同氏は指摘し、影響を受けた各拠点で生鮮品の在庫が失われる可能性に言及しました。

業務への影響は、またたく間に拡大しかねません。冷凍・冷蔵システムが復旧し、安全性が確認されるまで、店舗は温度管理が必要な商品を販売も補充もできない可能性があります。侵害された1台のコントローラーが、より広範な事業継続上の問題へと発展するのです。

フランスの事案は、旧式の産業用システムのセキュリティにも疑問を投げかけています。eSecurityPlanetが 組み込み機器のセキュリティリスクに関する記事で以前解説したように、多くのOT機器やIoT機器は、元のソフトウェアの保守が難しくなってからも、数年から数十年にわたって稼働し続けます。

こうしたシステムの交換には多額の費用がかかり、アップデートの適用には計画的な停止が必要になる場合があります。接続されたインフラに依存しながらも、脆弱な機器を簡単には入れ替えられない組織にとって、これは難しいセキュリティ課題です。

影響はスーパーマーケットにとどまりません。倉庫、医薬品の保管施設、食品加工工場など、ネットワーク接続された機器が重要な運用環境を維持しているあらゆる場所で、同様のリスクが生じえます。

ネットワーク接続機器を守るためにセキュリティ担当者が取るべき対策

フランスのスーパーマーケットへの攻撃は、冷凍・冷蔵設備や産業用制御装置、その他のネットワーク接続型の運用システムを管理する組織への警鐘です。

「欧州の食品小売業界は、自分たちが実際に狙われているというサインとして、これを受け止めるべきです」とPatel氏は述べました。

セキュリティ担当者は、物理的な業務に直接影響する機器にも、従来のIT基盤と同等の注意が払われているかどうかを見直す必要があります。

直ちに取り組むべき5つのセキュリティ施策は次のとおりです。

1. 露出している機器を特定する。ネットワーク接続型の冷凍・冷蔵コントローラー、産業用機器、ファームウェアのバージョン、遠隔管理インターフェースの一覧を整備します。外部ネットワークやサードパーティのサービスからアクセス可能なシステムを把握します。
2. 古いファームウェアを更新する。メーカーのセキュリティアドバイザリを確認し、サポート対象外の機器を洗い出します。Danfoss AK-SM 8xxAの管理者は、CVE-2025-41450、CVE-2025-41451、CVE-2025-41452など、過去に公表された脆弱性の影響を自社システムについて評価し、メーカーの最新の対処ガイダンスに従う必要があります。すぐの更新が難しい場合は、代替の保護策を講じたうえで、交換計画を策定します。
3. リモートアクセスを制限する。管理者権限でのアクセスは、許可された担当者とベンダーに限定します。対応している場合は多要素認証を含む強力な認証を使用し、不要な遠隔管理サービスは無効化します。
4. 運用ネットワークを分離する。冷凍・冷蔵コントローラーなどのOT機器を、社内のITシステムや無関係な機器から切り離します。通信は承認されたシステムとサービスに限定します。
5. 物理的な運用状態を監視する。独立した温度アラートを設け、不正な設定変更を調査するとともに、従業員が機器の異常な挙動を認識して対応できるようにします。

ネットワークの分離は特に重要です。接続された1つのシステムへの侵入が、組織全体のインフラに自動的に波及するようなことがあってはなりません。

組織は、業務妨害に特化したインシデント対応手順も整備すべきです。eSecurityPlanetの 重要インフラのセキュリティに関する教訓の分析で論じられているように、ネットワークの可視化、安全なリモートアクセス、OT特有のインシデント対応計画は、引き続き不可欠な防御策です。

食料品小売業者にとっては、ネットワークの切断だけを想定していては不十分です。対応計画では、食品安全、設備の復旧、在庫の廃棄、ベンダーとの連携に加え、可能な場合は重要なシステムを手動で運用できる体制も盛り込む必要があります。

セキュリティ担当者は設備管理者とも連携し、温度監視や緊急停止の仕組みが、侵害された管理ソフトウェアとは独立して機能するかどうかを確認すべきです。

Danfossの冷凍・冷蔵コントローラーを使用している組織は、自社の具体的な機種を特定し、ファームウェアのバージョンを確認したうえで、メーカーのセキュリティアドバイザリを参照してください。過去に公表されたCVE-2025-41450は、ソフトウェアバージョン4.2より前のAK-SM 8xxAに特有のものであり、ほかのDanfossコントローラーにも影響すると自動的に想定すべきではありません。

Danfossは、AK-SM 8xxAに影響するさらに2件の脆弱性についても セキュリティアドバイザリを公開しています。1件は、リモートコード実行につながりうる認証後のコマンドインジェクションの脆弱性CVE-2025-41451、もう1件は、サービス拒否を引き起こしうる認証後のWebインターフェース設定の脆弱性CVE-2025-41452です。いずれもソフトウェアバージョン4.3.1より前が影響を受け、CVSSスコアはそれぞれ8.7と6.8です。

これらのシステムを管理するセキュリティ担当者は、Danfossのすべてのコントローラーが同じ露出状況にあると決めつけず、メーカーの最新の対処ガイダンスに従う必要があります。

フランスでの捜査は現在も続いており、関与した脆弱性の全容は公表されていません。

ネットワーク接続型のインフラを運用する組織にとって、当面の教訓は明らかです。侵害された1台のコントローラーが、全社的な緊急事態に発展しかねないということです。脆弱な機器を特定し、リモートアクセスを制限し、運用の復旧手順を検証しておくセキュリティチームは、サイバー攻撃が物理的な危機に発展する前に被害を食い止める態勢を整えられるでしょう。

関連記事：フランスのスーパーマーケットへの攻撃は、重要インフラを狙った最近の別の脅威とも重なります。 「ハッカーが1か月で米国の水道システム100か所超を標的に」では、攻撃者が露出した産業用制御システムを悪用して業務を妨害した手口を取り上げています。