ハッカーがフランスのスーパー数百店を標的に、冷蔵システムを50℃まで加熱

フランスのスーパーマーケット数百店で、ハッカーが夜間に制御システムを操作したとみられる冷蔵設備の障害が発生し、生鮮食品や冷凍食品が廃棄に追い込まれました。

調査セキュリティ

BFMTVによると、被害を受けたのはIntermarché、Netto、Coopérative U、Leclercの各店舗などで、全国の損失額は数百万ユーロに達する可能性があります。攻撃の標的となったのは、デンマークのメーカーDanfossが供給する冷蔵システムです。

Les Mousquetairesは、Intermarchéと Nettoの300店舗が被害を受けたと確認しました。当初の推定である150店舗の2倍にあたります。Coopérative Uは別途、100店舗未満で障害が発生したと報告しています。Leclercの被害店舗数は明らかになっておらず、全国の正確な総数は把握できない状況です。

フランスのスーパーマーケットを狙うハッカー

BFMTVが引用した業界関係者によると、攻撃者はDanfossの制御ソフトウェアの旧バージョン、具体的にはバージョン4より前のものを狙いました。

攻撃者は冷蔵設備の自動霜取り機能を悪用し、定期的なメンテナンス作業を長時間の加熱に変えたとされています。

霜取りサイクルは、蓄積した霜を取り除くためのもので、通常は24時間のうち約2時間実行されます。今回の攻撃では、ハッカーが霜取りを連続的に実行させ、温度を50℃に設定したとみられています。

この数値は攻撃者が選んだ設定温度を示すもので、被害を受けたすべての冷蔵庫で実際に50℃に達したことが確認されたわけではありません。BFMTVの映像では、アイスクリーム売り場が26℃になっていました。業界関係者は、従業員が設備を開けた際に「熱波」が噴き出したと証言しています。

この手口は、オペレーショナルテクノロジー（OT）の操作にあたります。制御パラメーターが不正に書き換えられ、業務アプリケーションの停止にとどまらず、物理的な被害が生じました。

ただし、報道では悪用された具体的な脆弱性、コントローラーの機種、認証回避の有無、初期侵入の手法は特定されていません。旧バージョンのソフトウェアへの言及は、特定の脆弱性を示すものではなく、新しいバージョンが影響を受けないことを裏付けるものでもありません。

攻撃の一部は午前0時ごろに始まり、従業員が出勤するまで数時間にわたって冷蔵設備が稼働し続けました。夜の遅い時間に被害を受けた店舗では、生鮮品の一部を救うことができました。

ハグノーのIntermarché店舗では、冷凍在庫のすべてを失い、被害額は5万ユーロと推定されています。ヴァッセロンヌのLeclerc店舗は、冷凍品と生鮮品の両方を廃棄し、損失を22万ユーロと見積もっています。ハグノーにあるもう1店舗のLeclercも被害を受けましたが、損失額は算定できていません。

これらの店舗ごとの推計は金銭的な影響を物語っていますが、全国で数百万ユーロに上るという数字は、監査を経た合計額ではなく、業界関係者による推定にとどまります。

Les Mousquetairesによると、被害を受けた店舗は、障害の起きた設備から商品を速やかに撤去する措置を講じました。10月12日付の社内通達では、冷凍品が損失となるおそれがあると警告し、特別な補充注文を優先的に処理するとしています。

Coopérative Uは、冷蔵の専門業者と連携して危機対策チームを設置し、被害店舗を支援しています。Danfossと、冷蔵設備の設置・保守を手がけるAximaは、翌週月曜日の朝に会議を予定しています。

Coopérative Uの経営陣は、食品の保存に不可欠な設備への攻撃を「極めて深刻で、前例がなく、容認できない」と非難しました。

報告されている被害は、レジや発注システムが使えなくなる事態にとどまりません。冷蔵制御の操作は在庫の保存そのものを脅かし、小売各社は商品の廃棄を迫られたうえ、設備の復旧や代替品の納品の調整にも追われています。

新たなマルウェアが現れたら、すぐに防御を更新しましょう。1万6,000のSOCのデータを活用したTIフィードを統合。