ハッカーはフランスの数百店のスーパーの冷凍庫を加熱しました。本当の教訓は、誰が自社のコントローラーにログインできるのか、そして異常に誰がどれだけ速く対応できるのかを把握しておくことです。
10月11日の夜、何者かが遠隔操作で、フランスのスーパー数百店の冷蔵・冷凍ケースを霜取りモードに切り替えました。Intermarché(インターマルシェ)とNettoの店舗では、冷蔵庫と冷凍庫の温度が約50℃まで上昇し、約6時間そのままだったと、運営元のLes Mousquetairesは説明しています。同社は数千万ユーロ規模の損失を見込んでいます。朝になると、従業員は肉や冷凍食品、野菜を大型の廃棄コンテナに次々と投げ込んでいました。
Coopérative U(クーペラティヴ・ユー)では、約2,000店のうち80店が被害を受けました。CEOのDominique Schelcher氏はRTLの取材に対し、大半の店舗では低温管理を維持できたと語りました。対応が遅れて在庫を失ったのは一部にとどまるといいます。その差を分けたのは店舗スタッフと冷凍設備の保守業者の働きだったと、同氏は評価しています。一方、Intermarchéは、被害を受けた店舗はすべての商品を廃棄せざるを得なかったとしています。12日から13日にかけての夜には第2波が発生し、今度はDixell製コントローラーを使う店舗にも被害が及びました。
似たコントローラーで、同じ夜に攻撃を受けても、翌朝の状況は大きく違いました。運用者が対策を講じられるのは、この差の部分です。CSOはすでに、被害を受けたシステムと、CERT-FRが求める対応について報じています。犯行声明は出ておらず、身代金の要求も確認されていません。ロイターによると、この点は捜査当局を困惑させています。犯人の目的は金銭ではなく食品を傷めることだったのか、あるいはまだ目的を明らかにしていないだけなのかもしれません。CERT-FRもDanfossも、攻撃者がどのように侵入したのかを明らかにしていません。露出した管理インターフェース、既知の脆弱性、盗まれた保守業者の認証情報は、いずれも可能性が残っています。以下の3つの教訓は、侵入経路がどちらであっても当てはまります。
冷凍設備の保守業者こそ、自社の境界である
Schelcher氏の発言は、温度の数値以上に注目に値します。Coopérative Uの店舗はDanfossから直接購入しているわけではありません。調達先は冷凍設備の保守業者です。業者がコントローラーを納入し、設定を行い、リモートアクセスも保持しているため、店舗まで出向かずに設定値を調整できます。E.LeclercはAFPに対し、同社の店舗への攻撃は冷凍設備の納入業者の1社を経由したものだと述べました。コントローラーに組み込まれたWebサーバーは、まさにこの目的のために存在します。保守業者の性能保証も、通常はそこから提供されるデータに依存しています。
Danfossは過去にも同様の事例を経験しています。同社自身の2025年10月の技術ニュースレターには、2022年にAK-SM 800が攻撃を受けた事例が記録されています。ロシアのスーパー16店と、イスラエルの40店です。イスラエルの40拠点はすべて、適切なファイアウォールもVPN保護もなかったと、ニュースレターは指摘しています。それから4年を経た今も、2021年5月にサポートが終了した同じモデルが、フランスでインターネットに接続されたままでした。
この構図は産業施設でもおなじみです。コントローラーを外部に公開するかどうかを決める側と、被害が出たときに損失を負う側が異なります。保守業者にとっては、ブラウザーとグローバルIPアドレスさえあれば、日曜夜の緊急対応が2分で済みます。一方、在庫を抱えるのは店舗です。通常の保守契約では、契約書に署名する人にこのトレードオフが見えることはほとんどありません。
依存がどこまで深いかは、国の注意喚起でこれまで見たことのない一文に表れています。16日に更新されたCERT-FRの警告は、冷凍設備の保守業者とのインターネット接続を遮断する前に、保険条件を確認するよう運用者に求めています。データの送信は契約上の取り決めです。契約内容によっては、遮断すると監視義務や保険の条件に抵触しかねません。しかも保険面の見通しは厳しいものです。ブローカーや保険引受会社はロイターに対し、サイバー保険は通常、物理的損害を対象外とするため、傷んだ在庫が補償される可能性は低いと述べています。IntermarchéもAFPに対し、今回の被害は保険の対象外だと説明しました。
そこで最初の問いです。現在、誰が、どの経路で自社の冷凍設備コントローラーにログインできるでしょうか。店舗ネットワーク、保守業者のVPN、業者が何年も前に設置したセルラールーター、店舗のルーターのポートフォワーディングなどが考えられます。答えるために業者へ問い合わせる必要があるなら、その境界を管理できていません。借りているだけです。
この教訓は、ファイアウォールのルールではなく契約条項に関わります。保守契約には、機器へのリモート経路をすべて明記し、それ以外を禁止する条項が必要です。アクセスは自社のゲートウェイまたはVPNを経由させ、アカウントは担当技術者の個人名に紐づけます。ログを自社に提供させ、コントローラーがベンダーサポートの対象外になったときや脆弱性が公表されたときは、業者が通知する義務を負うようにします。さらに、低温管理を止めることなくアクセス権を取り消せることも必要です。冷蔵ケースのコントローラーは何十年も稼働します。ところが、その保守費用を支払う契約書に、こうした内容が書かれていることはまずありません。フランスの件を経た今は、書くべきです。
霜取りは正規の機能である。そのコマンドをイベントとして扱う
攻撃者がどこから侵入したにせよ、被害そのものは通常の冷凍機能によって生じました。霜取りはあらゆる冷凍コントローラーに組み込まれたサイクルです。第2波では、設定温度がどのケースも到達できない値まで引き上げられたと伝えられています。多くのコントローラーには、霜取り中とその後の一定時間は温度アラームを抑制する設定もあります。定期サイクルのたびに午前3時に誰かが呼び出されることがないようにするためです。これは合理的な設定ですが、強制的な霜取りが静かに進行してしまう原因でもあります。フランスでこの設定が影響したかどうかは確認されていません。また、Coopérative Uの経験からは、大半の店舗でアラームが担当者に届いていたことがわかります。
構造は、7月のミネソタ州の水道施設への攻撃と同じです。本来の機能を、不適切な人物が、不適切なタイミングで使ったのです。温度アラームはプロセス制御です。製品が温まってきていることは知らせてくれます。しかし、その原因となったコマンドが、ログインすべきでない人物から出されたものかどうかまでは判断できません。
アラームを鳴らすべきシグナルは、保守作業の時間帯以外に起きた想定外のモード変更や設定温度の変更です。複数の回路が同時に動いた場合や、同じ業者が担当する複数の店舗が同じ時間帯に動いた場合は、重要度がさらに高まります。CERT-FRの更新後の警告は、霜取りスケジュールを具体的に見直すよう運用者に求めています。温度計だけでなく設定内容を確認するという考え方は正しいと言えます。
すべてのコントローラーがこうしたイベントを出力できるわけではありません。今回被害を受けたモデルはなおさらです。出力できない場合は、コントローラーに依存しない独立した温度ロガーが、結果を早期に捉える手段になります。いずれにせよ、アラームを受け取り、内容を理解し、対応する権限を持つ人が必要です。午前3時には、店舗の従業員から外部の技術者、さらに本部の運用デスクへと連絡が流れます。誰が誰に連絡するのかが書面で決まっていなければ、貴重な数分を確認に費やすことになります。第2波では、ジロンド県の冷凍技術者がルモンドの取材に対し、自分のチームがボルドー近郊の店舗に間に合い、廃棄せずに済んだと語っています。Schelcher氏の言う「一部」の店舗が在庫を失ったのは、対応が間に合わなかったためです。2つのグループを明確に分けた要因は、最初に対処可能な警告が出てから介入するまでの時間でした。
具体的な教訓は次のとおりです。まず、技術者から事前連絡のないリモートでの設定温度やモードの変更に、アラートを設定します。時間帯や、同時に動く回路の数で重みづけします。可能であればコントローラーが、不可能であれば保守業者の監視プラットフォームがアラートを出します。業者は全店舗を一度に見渡せる唯一の存在だからです。次に、コントローラーとネットワークを共有しない温度ロガーを、セカンドオピニオンとして置きます。さらに、午前3時の連絡経路を、役職ではなく名前を入れて書面にしておきます。そして訓練も行います。業者に夜間、テスト用の回路で設定温度を変更してもらい、権限を持つ担当者が元に戻すまで何分かかるかを計測します。この数字こそ、取締役会に報告すべきものです。
サポート終了のコントローラーは、パッチ票ではなく予算項目である
ClarotyのTeam82は8月、現行モデルであるAK-SM 800Aの3件の脆弱性を公表しました。いずれもファームウェア4.3.1以前で修正されています。同社は、インターネットから到達可能な管理インターフェースが2,765件あることも確認しました。これらの脆弱性が今回の攻撃と結びつけられたわけではありません。Danfossによると、被害を受けた機器の大半は旧型のAK-SM 800とAK-SC 355で、一部に旧バージョンのファームウェアを使うAK-SM 800Aもありました。
旧型モデルには、適用できるパッチがありません。DanfossはAK-SM 800の更新を2021年5月に、AK-SC 355の更新を2016年に終了しています。このためCERT-FRは、パッチ適用を最優先にはしていません。AK-SM、AK-SC、XWEBのコントローラーをすべて公開インターネットから切り離すこと、アクセスの復旧はVPNか保護されたネットワーク経由に限ることを、運用者に求めています。侵害されたDanfoss製機器は、再起動します。それでも解決しなければ工場出荷時の状態に戻し、再設定してから運用に戻します。さらに、予言のように読める警告も添えています。リセットだけでは永続化の仕組みは除去できても、脆弱性は残ったままです。この攻撃キャンペーンは、おそらくまだ続いているというのです。
この順序は、CISAがSiemens S7 PLCの堅牢化を運用者に求めた際に私が主張したものと同じです。まず露出の解消、次にファームウェア、最後に交換という順番です。実務に落とし込むと、次のようになります。今週中に、冷凍設備コントローラーをモデル、ファームウェア、ベンダーサポート状況ごとに一覧化します。グローバルIPアドレス上にある管理インターフェースは、その日のうちに外します。ベンダーがサポートを続けている機器は、最新のファームウェアにします。サポートが終わった機器については、予算項目と担当者名を添えて交換期日を決めます。老朽化したコントローラーでも、機能自体は問題なく働き続けている場合があります。交換には費用も技術工数もダウンタイムもかかるため、担当者がいなければ決定は先送りになります。セキュリティチームはリスクを文書化できます。しかし、そのリスクを受け入れるか、交換費用を負担するかは、事業部門の誰かが決めなければなりません。ロイターが報じた保険の状況を踏まえれば、その人は在庫の損失まで受け入れることになると知っておくべきです。
ここで話は、2つの店舗グループに戻ります。ファームウェアやハードウェアの違いが、在庫を守れた店舗を分けたことを示す証拠はありません。記録されているのは、低温管理が崩れる前に、対処できる人へ警告が届いたという事実です。これは運用上の能力であり、攻撃者に試される前に自ら検証できます。Sekoiaはロイターに対し、スペイン、ポルトガル、ポーランド、ドイツ、ベルギーでも事例が確認されたと述べました。同じコントローラーのファミリーは、倉庫や医薬品流通の低温保管にも使われており、同じような保守業者が管理しています。そこで、今週中に2つのことを実行してください。1つ目は、ShodanやCensysで自社の冷凍設備の管理インターフェースを検索することです。すでに他の誰かが調べているはずです。2つ目は、保守業者に電話して「当社の拠点にログインするとき、どうやって接続していますか」と尋ねることです。答えが、間に何も挟まない公開IPアドレスとパスワードだけだったなら、インシデントはすでに見つかったも同然です。まだ起きていないだけです。
