調査からは、世界各地の産業システムがはるかに広範なリスクにさらされている実態が浮かび上がっています。
フランスのスーパーマーケットの冷蔵設備を狙ったサイバー攻撃から数日が経過しましたが、世界中で数千台のコントローラーがオンライン上で確認でき、侵害されるリスクにさらされています。
フランスでは数百の食料品店が高度な攻撃の標的となりました。攻撃者は、業務用冷蔵システムを制御するプログラマブルコントローラーに不正アクセスしていました。
攻撃者は冷蔵庫内の制御を操作してシステムを過熱させ、場合によっては火災を引き起こしました。その結果、数百万ドル規模の損害が発生しています。
フランスの国家サイバーセキュリティ機関であるANSSIによると、攻撃者はDanfoss AK-SM、Danfoss AK-SC、Copeland xweb、Dixell xwebの各コントローラーの脆弱性を狙いました。
Shadowserver Foundationの研究者によると、Danfoss AK-SM 800Aは水曜日の時点で約350台が露出したままとなっています。今週前半の550台超からは減少しました。
Censysが水曜日に公開したレポートでは、Danfoss StoreViewパネルを使用する2,900超のホストがオンライン上で確認できることが示されています。Security Scorecard による別のレポートでは、4,600超のパブリックIPアドレスにわたって5,200超のStoreViewインスタンスが確認できるとしています。
後回しにされるセキュリティ
セキュリティ研究者は、問題の根源はこれらのシステムの設計段階にあり、セキュリティが優先事項になっていないことだと指摘しています。
Security Scorecardの共同創業者兼CEOであるAleksandr Yampolskiy氏は、Cybersecurity Diveの取材に次のように語りました。「システムを設計する人や構築する人は、たいてい利用者が行儀よく振る舞うものと考えています。しかし、ハッカーは行儀よくありません」
Danfossのコントローラーに存在する重大な脆弱性は、産業用サイバーセキュリティを専門とするClarotyが8月に公開したレポートで明らかになりました。研究者らは、Danfossシステムのウェブ管理インターフェースに、攻撃者によるデバイスの乗っ取りを可能にしかねない重大な欠陥を発見しています。
これらの脆弱性はCVE-2025-41451 および CVE-2025-41452として追跡されています。研究者らは2025年にこれらの欠陥をDanfossに通知し、その後、協調的開示プロセスに沿ってレポートを公開しました。メーカーは欠陥を修正し、追加のガイダンスも発表しています。
攻撃はCarrefour、Monoprix、Cooperative U、Intermarcheなど複数のチェーンにまたがる数百の店舗に影響しました。
Copelandの広報担当者は、サポートが終了した製造終了済みコントローラーで脆弱性が見つかったことを認めました。同社は影響を受けた顧客と協力し、リスクの軽減に積極的に取り組んでいます。
フランス当局は引き続き攻撃を調査するとともに、各業界と連携して是正措置や予防策を進めています。当局は、さらなる攻撃の可能性は高いとしており、特に大手小売業者に警戒を向けています。
Google Threat Intelligence Groupの主任アナリストであるJohn Hultquist氏は次のように述べています。「私たちの食を支える複雑なシステムは脆弱ですが、必要な注目を集めていないことが少なくありません。このサプライチェーンは、まさに重要インフラとして扱うべきです」
