セキュリティ
研究者らは8月に警鐘を鳴らしていた
フランスのスーパーマーケット数百店舗がサイバー攻撃で混乱に陥る数カ月前（1件については1年以上前）から、セキュリティ研究者は冷凍・冷蔵設備のコントローラーに悪用可能な脆弱性があると警告していました。
日曜日の深夜、正体不明の犯罪者らが数千台のコントローラーに侵入しました。設定温度を引き上げられた設備は庫内温度が最高122°F（50°C）に達し、食品が傷んだほか、国内のスーパー約700店舗で火災も発生しました。
フランスの国家サイバーセキュリティ機関ANSSIは月曜日、Danfoss製の冷凍・冷蔵コントローラーを狙った大規模な侵害について警告しました。翌日にはCopeland社とそのDixellブランドの影響システムも追加しています。侵害されたデバイスはインターネット経由でアクセス可能な状態にあり、その多くはソフトウェアやセキュリティ更新がすでに提供されていないとされています。ほかにも古いファームウェアのまま稼働していたものがありました。
DanfossはThe Registerのコメント要請にすぐには応じませんでした。Copelandからは、次の声明がメールで届きました。
「生産終了となった旧世代のコントローラーで確認された脆弱性を認識しています。お客様の事業運営を守ることは、常に最優先事項です。現在、影響を受けたお客様と協力してリスクの軽減に取り組んでいます。今後も、サポート対象の製品、最新のソフトウェア、業界で推奨される対策を通じて、お客様のサイバーセキュリティ強化を支援してまいります」
運用技術（OT）セキュリティ企業ClarotyのTeam82は8月、これらの脆弱なデバイスについて、攻撃者が「コントローラーを凍結し」「食品を解凍する」可能性があると警告していました。研究者らは当時、Danfoss AK-SM 800AとCopeland XWEBコントローラーに影響する数十件の脆弱性の詳細を公表しています。認証バイパスやOSコマンド実行の欠陥も含まれていました。
この事件で特に際立つのは、時系列
これに先立ち、米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）も、両ブランドのコントローラーに存在するセキュリティ上の欠陥について勧告を公表していました。
CISAは2月、Copeland XWEBおよびXWEB Proの約2ダースのCVEが悪用されると、「攻撃者による認証のバイパス、サービス拒否状態の発生、メモリ破損、任意のコード実行を許す恐れがある」と説明しました。
2025年5月の勧告（2025年8月に更新）では、脆弱なDanfoss AK-SM 8xxAシリーズ機器について同様の警告を出しています。
サイバー保険会社Coalitionの最高引受責任者Tiago Henriques氏はThe Registerの取材に対し、「この事件で特に際立つのは、時系列です」と語りました。同氏によると 、フランスのスーパーへの攻撃は、Team82が研究結果を公表してから2カ月後に起きました。Danfossは、脆弱性を緩和するファームウェアの更新版（R4.3.1）をすでに公開していました。
「深刻な露出」は続く
「それにもかかわらず、パッチが提供されているのに、Coalitionのスキャンでは、秋に入ってもこうした脅威にさらされる深刻な状態が続いていることが判明しました」とHenriques氏は述べました。
Coalitionのセンサーは9月7日から10月6日の間に、Webからアクセス可能なDanfoss StoreView管理パネルを公開したままのIPアドレスを、一意で1,506件確認しました。このうち820件、つまり54%がフランスのネットワークに関連していました。
同氏は「今回のスキャンでは、ログインページがインターネットに公開されている上記ブランドの冷凍・冷蔵コントローラーを少なくとも2,624台確認しました。内訳はDanfoss StoreViewが1,506台、XWEBが1,119台です」と付け加えています。1つのIPアドレスで両方の種類のコントローラーが稼働している例もあったといいます。
誤解のないよう補足すると、これらのコントローラーがすべて脆弱だったわけではなく、公開インターネットに露出していたということです。
保険会社の集計によると、サイバー攻撃後の木曜日時点でも、618台のDanfoss製デバイスがインターネットに接続されたままです。このうち206台はフランスのネットワーク、50台は米国、2台は英国に接続されています。
Henriques氏は、デジタル攻撃者にとって「Webからアクセス可能な管理パネルを備えた未パッチのデバイスは、主要な侵入口になり得ます」と指摘します。「教訓は明白です。デジタルリスクは、ワークステーションやメールサーバーをはるかに超えて広がっています」
犯罪者は、インターネットに接続されたOTやその他の産業用デバイスも標的にしています。
「こうした露出したアクセスポイントを、狙われる前に特定しておけば、事業継続の維持に直接役立ちます」とHenriques氏は述べました。
OTセキュリティ業界、CISAに指令の発出を要請
米国では、OTサイバーセキュリティおよびテクノロジーの提供企業で構成するグループが、米国の食品・農業分野の防御強化を求める主張を一段と強めました。Operational Technology Cybersecurity Coalition（OTCC）は水曜日の声明で、今回のフランスへのサイバー攻撃は「運用技術のサイバーセキュリティを高めるための基本的な対策を実施することの重要性を、改めて突きつけるものです」と述べました。
同グループのメンバーには、Claroty、Forescout、Honeywell、Schneider Electricなどが名を連ねています。今月初めには、連邦政府内のOTサイバーセキュリティを改善するため、CISAに拘束力のある運用指令（Binding Operational Directive）を発出するよう求めていました。OTCCは水曜日にもこの要求を繰り返し、米農務省が食品・農業分野の組織にサイバーセキュリティのベストプラクティスの導入を促せるのではないかと提案しています。
声明は次のように述べています。「米国では被害は報告されていませんが、悪意ある攻撃者は間違いなく、今回の事件を米国でも実行可能な攻撃手法とみているでしょう。そうなるのを待っている余裕はありません」®
