フランスのサイバーセキュリティ当局は、被害対象の冷蔵設備制御システムを一覧に追加し、スーパーマーケットに対してできるだけ早くインターネットから切断するよう呼びかけました。
週末に数百店舗のフランスのスーパーマーケットで冷蔵食品の在庫が駄目になったサイバー攻撃で、インターネットに接続された冷蔵庫が新たに公式の被害対象リストに加わりました。
フランスのコンピュータ緊急対応チーム（CERT-FR）は、スーパーマーケットに対し、パブリックIPアドレスを持つ冷蔵制御システムをすべてインターネットから切断するよう勧告しました。再接続は、設定を確認し、必要に応じて工場出荷時の状態に戻したうえで、セキュアなVPN経由に限るとしています。
緊急の場合は、冷蔵設備の供給業者や保守事業者のIPアドレスからの接続のみを許可するようフィルタリングすることも可能だとしましたが、CERT-FRは、これを長期的な解決策にすべきではないと述べています。
CERT-FRが月曜日に出した最初の警告では、影響を受ける機器としてDanfossのAK-SCおよびAK-SMシリーズの冷蔵コントローラーだけが挙げられていました。当時は、スーパーマーケットに対し、システムのファームウェアを更新し、セキュリティレベルを「strict」に設定し、初期パスワードが変更済みであることを確認するよう勧告していました。
今回の攻撃で特に大きな被害を受けたスーパーマーケットチェーンの一つが、IntermarchéとNettoのブランドを展開するGroupement Mousquetairesです。広報担当者によると、同社は一部店舗で、Danfossの機器が管理する冷蔵・冷凍の陳列設備から商品を速やかに撤去しました。
攻撃を受けて、フランスの制御システムベンダーであるDixellは、LinkedInに先見性のある投稿をしました。「サイバーセキュリティは、常にすべての人に関わる問題です。今日は競合他社が標的になりましたが、明日は私たちの番かもしれません」
その言葉は現実となりました。
被害者が増えるにつれ、影響を受けたスーパーマーケットのすべてがDanfoss製の冷蔵コントローラーを使っていたわけではないことが明らかになりました。このためCERT-FRは、DixellおよびCopelandのブランドで販売されている他のモデルも一覧に追加しました。
Dixellは、同社のインターネット用インターフェースXWEBのユーザー向けにセキュリティアドバイザリーを公表しました。内容は、CERT-FRの助言とおおむね同じ方向性です。バージョン1.12.1以前を実行しているシステムはただちにアップグレードすること、脆弱なパスワードや初期パスワードを変更し、対応するシステムではパスワードのセキュリティポリシーを有効にすること、リモートアクセスをVPNまたは専用の4Gモバイルデータ通信で保護し、緊急時にはIPアドレスフィルタを適用することを推奨しています。
サイバーセキュリティ監視企業SentinelOneのリサーチリードであるTom Hegel氏は、攻撃がDanfossとDixell/Copelandだけで終わる可能性は低いと指摘します。「こうしたインターフェースは今も数千台がオンラインのままです。同様のインシデントはさらに増えるでしょう」
これらのインターフェースがオンラインにあるのは、スーパーマーケットが「サービスとしての冷蔵（refrigeration as a service）」を契約することが多いためです。提供事業者は、保守する冷蔵庫から常時データを受け取れることを条件に、性能を保証しています。このデータにより、コールドチェーンのトレーサビリティも保証できます。
多くのレガシーな運用技術（OT）と同様に、こうしたシステムのセキュリティは、これまでCISOの目に留まることがほとんどありませんでした。
「小売チェーンは、冷蔵コントローラー、ビル管理システム、ドアのアクセスパネル、POS機器など、膨大な設備を抱えています。その多くは、セキュリティチームをほとんど関与させない設備業者が導入したものです」とHegel氏は述べています。
スーパーマーケットのCISOたちは、システムをスキャンして保護しながら、誰が、なぜ自社を攻撃したのかを考えることになるでしょう。しかし、冷蔵庫の「電源スイッチ」が事実上インターネット上に公開されていたため、その答えを見つけるのは難しそうです。
「公開された管理パネルにログインした攻撃者は、ほとんど痕跡を残しません。解析できるマルウェアもなく、手がかりはIPアドレスくらいですが、それもおそらくレンタルサーバーにつながるだけです。防御側から見れば、十代の若者と諜報機関の区別はつきません」とHegel氏は述べています。「迷惑行為と深刻なインシデントを分けるのは、多くの場合、被害者がインターネットにどれだけの制御権限をさらしていたかです」
