今週、フランスの数百のスーパーマーケットで冷蔵設備を 停止させたサイバー攻撃 は、CopelandおよびそのブランドであるDixellの機器にも被害を及ぼしていたことが、フランスの国家サイバーセキュリティ機関ANSSIによって明らかになりました。
ANSSIのCERT-FRは10月12日、Danfoss AK-SMおよびAK-SCシリーズの冷蔵コントローラーが多数侵害されているとして、最初の警告を出しました。その翌日、同機関はアラートを更新し、Copeland XWEBおよびDixell XWEBのシステムを対象に加えました。
Copelandは当初、同機関の調査結果について確認を拒否していました。その後、脆弱性の存在を認め、「影響を受けた顧客と協力して、現在リスクの軽減に取り組んでいます」とコメントしています。
今年の夏、Claroty社はDanfossのAK-SM 800Aの欠陥と、CopelandのXWEB Proコントローラーにおける23件の脆弱性について詳細を公表しました。Copelandはこれらをファームウェアの更新で修正しています。
攻撃者がどのように侵入したのかは、依然として不明です。CERT-FRのアラートは、今回の侵害を特定の脆弱性と結び付けていません。また、DanfossもフランスB当局も、Clarotyが公表した欠陥と今回の攻撃との関連を認めていません。
Danfossによると、被害を受けた機器の大半は、サポートが終了し、もはやパッチが提供されていない旧型のAK-SM 800およびAK-SC 355だということです。
DanfossはAK-SM 800のサポートを2021年5月に終了しており、AK-SC 355は2016年に製造を終了しています。古いファームウェアで稼働していた現行のAK-SM 800Aコントローラーの一部も被害に遭いました。
CERT-FRは、影響を受けるコントローラーの運用者に対し、インターネットから切り離し、リモートアクセスは安全なVPNまたは保護されたネットワーク経由でのみ復旧するよう強く求めています。IPアドレスによる接続のフィルタリングは、一時的な緊急措置としてのみ認められると同機関は述べています。
侵害されたサポート終了機器については、工場出荷状態へのリセットだけでは不十分です。機器は脆弱なままであり、公開状態が続けば再び侵害される可能性が高いためです。
フランスで数百のスーパーが被害
被害を受けたことを確認しているスーパーマーケットチェーンには、Carrefour、Coopérative U、E.Leclerc、Intermarché、Monoprixが含まれます。
フランスにある約1万店のスーパーマーケットのうち、約700店が被害を受けたと、ローラン・リスキュール財務相が火曜日に議員らに述べました。それ以前の報道では、300〜350店とされていました。
Intermarchéでは、運営元のLes Mousquetairesによると約150店舗が被害を受けました。同社の冷蔵設備は6時間にわたり摂氏50度で稼働し、食品はすべて廃棄されました。Carrefourは、80店舗が影響を受けたと説明しています。
Coopérative UのCEO、ドミニク・シェルシェル氏は、グループの80店舗が標的となったものの、商品を廃棄せざるを得なかったのは一部にとどまったと述べました。アルザス地方の2店舗では、損失額が合計27万ユーロ（30万ドル）に上ったと報告されています。
サイバー犯罪対策部門が捜査に着手したパリ検察庁は、今回の攻撃で食品の損失に加えて火災も発生したと明らかにしました。Le Mondeによると、攻撃者は一部の機器を最長8時間にわたって霜取りモードに維持し、警報の作動を遅らせていました。
Reutersは、捜査に詳しい関係者の話として、犯行声明も身代金の要求もないことに捜査当局は困惑していると報じました。
SekoiaのFélix Aimé氏はReutersに対し、スペイン、ポルトガル、ポーランド、ドイツ、ベルギーの店舗にも被害が及んでいると語りましたが、詳細は明らかにしませんでした。オランダのNCSCは、Ahold Delhaizeに対するサイバー攻撃が冷蔵庫への攻撃と関連しているとは考えていないとしています。
Censysの集計によると、10月11日時点でインターネットに公開されたDanfossのStoreView制御パネルは3,000台近くに上り、うち1,800台以上がフランス国内にありました。10月14日までにフランス国内の台数は537台に減少しましたが、それ以外の地域ではほとんど変化がありませんでした。
パッチ適用済みのバージョンと未適用のバージョンがほぼ同じペースで姿を消していることから、運用者はコントローラーを更新するのではなく、ネットワークから切断していると見られるとCensysは指摘しています。
この事件では、責任の所在をめぐる疑問も浮上しています。Les Mousquetairesは、冷蔵システムを管理していたのはDanfossであり、同社が被害届を出すべきだと主張していると、Bloombergが報じました。
翻訳元: https://www.securityweek.com/supermarket-refrigeration-attack-widens-to-copeland-dixell-controllers/
