security
数百店舗で商品が傷む被害、メーカーは「影響を受けた機器は古いファームウェアで稼働していた」と説明
スーパーマーケットの冷蔵システムに対するサイバー攻撃により、庫内温度が最高50℃（122°F）まで上昇したと報じられています。フランス国内の数百店舗が影響を受け、小売各社は食品の廃棄を余儀なくされました。
被害を受けたのは、Carrefour、Coopérative U、Intermarché、Monoprixなどの大手スーパーです。生鮮食品が傷み、店頭から新鮮な商品が消える事態になりました。
影響を受けた機器には、店頭に並ぶ前の食品を保管する低温保管設備が含まれます。攻撃者は温度を危険な水準まで引き上げ、食品を傷ませたほか、場合によっては火災も引き起こしました。
影響を受けた小売業者の一部は、デンマークのDanfoss社が製造する冷蔵コントローラーを使用していました。
当局は侵入経路を特定しておらず、Clarotyが以前に公開した脆弱性（2025年8月に修正済み）が悪用されたことも確認していません。ただしメーカーは、被害を受けた店舗が古いファームウェアを使用していたと述べています。
専門家は、以前に判明していた脆弱性はスクリプト化が容易で、独特ながら予測可能な認証方式に依存していたと指摘しています。
Clarotyは、AK-SM 800Aプラットフォームに隠された認証メカニズムを発見しました。デバイスの現在の日付から生成したコードを受け付け、設定済みの管理者パスワードを回避できるというものです。
このアルゴリズムを再現できれば、誰でも有効な日次コードを生成して管理者権限を得られます。
セキュリティ専門家のKevin Beaumont氏は「特別なスキルは一切いらない。トイレに入っている間にbashスクリプトを書いてしまった」と語っています。
この研究は、侵害されたコントローラーによって冷蔵システムが物理的な障害にさらされ得ることを示しました。ただし、今週の攻撃にこれらの脆弱性が関与したかどうかは確認されていません。
Danfossは今週、報道陣に対し、攻撃を受けたフランスのスーパーは「古いファームウェアで稼働していた」と述べ、同社はシステムを最新の状態に保つよう一貫して呼びかけてきたと強調しました。
The RegisterはDanfossに対し、以前に公開された脆弱性が今回の攻撃に悪用されたのかどうか、また8月に米軍の商業施設（コミッサリー）の冷蔵庫が侵害されて食品が失われた事案でも同じ脆弱性が悪用されたのかどうかを質問しました。
CERT-FRはアラートを公表し、Danfoss製のAK-SMおよびAK-SCコントローラーが多数侵害されたと報告しています。これらはClarotyの当初の報告にも、当時のDanfossのアドバイザリにも記載されていませんでした。
同機関は、ネットワークからの切断またはアクセスの制限を推奨しています。侵害の疑いがある場合は、工場出荷状態へのリセット、セキュリティパッチの適用、認証情報の更新、アカウントの確認、全面的な再設定を行うよう勧めています。
なぜ冷蔵庫がインターネットから到達可能である必要があるのか疑問に思う向きもあるでしょう。Clarotyの研究者によると、主な理由は、本部のエンジニアリングチームが遠隔から問題を調査できるようにするためです。
ClarotyのCTOであるAmir Preminger氏は次のように述べています。「冷蔵コントローラーのような産業用制御システムは、安全に隔離されたネットワーク上にあると思われがちです。しかし私たちの調査では、こうした機器の多くがインターネットに直接公開されていることが分かりました。エンジニアが遠隔でトラブルシューティングできるため保守コストは大幅に下がりますが、その一方で攻撃者にとっての参入障壁も下がってしまいます」
「組織は、管理インターフェースがインターネットに無防備に接続されないよう、積極的な対策を講じる必要があります。管理サービスへのアクセスは、信頼できる管理ネットワークに限定するか、VPNなどの適切なネットワーク分離対策で保護すべきです」
Intermarchéの親会社Groupement Les Mousquetairesは、約150店舗が攻撃の影響を受けたと説明しています。Carrefourも約80店舗が影響を受けたことを認めました。
Monoprixは、490店舗のうち約5％で同様の問題が発生していると述べました。Coopérative UのDominique Schelcher CEOは同社の店舗が被害を受けたと認めましたが、具体的な店舗数にはコメントしていません。
一方で、思わぬ展開もありました。Schelcher氏は火曜日、フランスのラジオ局RTLに対し、Coopérative UはDanfossの顧客ではないと語りました。
The Registerは、同社の店舗で攻撃の原因となったものについて、Coopérative Uに詳細を問い合わせています。
インターネットに公開されたDanfoss製コントローラーのインターフェースをShodanで検索したところ、月曜日の時点で4,500を超えるエンドポイントが公開されており、その半数以上がフランス国内にありました。
オランダの大手食品小売Ahold Delhaizeも同じ日、「セキュリティ上の問題」が発生していると発表しました。フランスでの冷蔵システムへの攻撃との関連は確認されていません。
ただ、結果は似通っています。同社傘下の食品ブランドで商品在庫の問題が報告されているのです。
グループの複数のブランドはウェブサイトをオフラインにし、「サイバーセキュリティインシデント」に関する告知を掲載しています。
店舗は営業を続けていますが、影響を受けたブランドでは、ウェブサイト、アプリ、カスタマーサービス、オンライン配送に支障が出ていると報告されています。
混乱は同社の流通システムにも及びましたが、現在は復旧が進んでいます。
火曜日にSNSへ投稿された更新情報によると、スタッフは電子棚札を再び使用できるようになりました。ただし在庫状況は店舗によって異なる可能性があり、生鮮の果物や野菜よりも長期保存品のほうが豊富に並ぶ見込みだと、買い物客に伝えられました。
同社は2024年11月にもサイバー攻撃を受け、米国事業に支障が出ていました。®
