EU圏のスーパー、未更新の冷蔵庫ファームウェアで被害

Read in English: Click Here

This translation is provided by our internal AI translation tool.

フランスの数百のスーパーマーケットが今週、冷蔵システムを狙ったサイバー攻撃を受け、数千万ユーロから数億ユーロに上る損失を被りました。

月曜日の夜間、ハッカーがフランスの大手スーパーマーケットチェーンが使用する業務用冷蔵システムのコントローラーに侵入しました。冷蔵庫、冷凍庫、冷蔵室を暖房機のように動作させ、庫内温度を最大50℃（120°F超）まで上昇させたのです。この結果、庫内の食品はすべて傷み、小規模な火災も数件発生したとされています。攻撃者の身元と動機は、いまだ分かっていません。

冷蔵コントローラーを使えば、小売業者は冷蔵設備の温度を24時間365日、遠隔で設定・監視できます。そのため、店舗の管理者は異変に気づくか、手動で異常を確認できたはずです。それを防ぐため、攻撃者は標的システムの霜取りサイクルを延長していました。霜取りとは、冷凍庫が内部に付いた霜や氷を意図的に溶かす工程です。温度の上昇を通常のメンテナンスに見せかけたとみられます。フランスの情報源が伝えています。

各社の発表によると、攻撃は700店強の食料品店と小売店に及び、いずれも同じ夜に発生しました。フランスのサイバーセキュリティ企業Sekoiaのアナリストはロイターに対し、スペイン、ポルトガル、ポーランド、ドイツ、ベルギーも被害を受けたと述べました。オランダの大手スーパーマーケットチェーンも、予防措置としてシステムを停止したといいます。AP通信が報じました。フランスのチェーンの1社、Intermarchéだけでも、数千万ユーロの損失を報告しています。

さらに深刻なのは、専門家が、基本的なサイバーセキュリティ対策を講じていれば、これらの攻撃はほぼ確実に防げたと指摘している点です。

冷凍庫の火災の原因は何か

当初の報道では、月曜日の攻撃にはデンマークのメーカーDanfossの冷蔵コントローラーが関係しているとされていました。Danfossは、スーパーマーケットや食品小売向け制御ソリューションの分野で大きな存在感を持ちます。同社のウェブサイトによると、世界で5万件以上の導入実績があります。

8月9日、Claroty社のTeam82に所属するセキュリティ研究者が、DanfossのAK-SM 800Aプラットフォームに存在する3件の脆弱性を公表しました。CVE-2025-41450、CVE-2025-41451、CVE-2025-41452として登録されたこれらの脆弱性を悪用すると、攻撃者は企業の冷蔵設備群に対してリモートコード実行（RCE）やサービス拒否（DoS）攻撃を仕掛けることができました。Danfossは脆弱性を修正しましたが、システムの更新は顧客自身に委ねていました。

ロイターに出した声明で、Danfossは古いファームウェアを使い続けた顧客に責任があるとの立場を示しました。同社は「サポート対象のシステムを最新のファームウェアに保ち、旧世代のシステムを最新世代のソリューションへ移行するよう、以前から顧客に助言してきた」としています。
この相手先ブランド製造業者（OEM）は、冷蔵業界専門誌のCooling Postにも詳しい情報を提供しました。それによると、被害を受けた機器の「大半」はAK-SM 800か、その前身のAK-SC355で動作していました。いずれもすでにサポート終了（EOL）を迎えており、AK-SM 800は2021年、AK-SC355は2016年に終了しています。

火曜日には、フランス国家CERT（CERT-FR）が、別の冷蔵コントローラーのプラットフォームも攻撃に関与していたと特定しました。Dixellとその親会社Copelandが提供する「XWEB」です。CERT-FRは、どの脆弱性やファームウェアのバージョンが関係しているかは明らかにしていません。ただ、状況証拠からは、攻撃者がTeam82の研究成果を足がかりにしていることが明白になっています。Team82の研究者は、Danfossの脆弱性を公表したのと同じ日に、XWEB Proに影響する別の23件の脆弱性も公開しました。うち21件は重大度が高いものでした。

小売業者は冷蔵庫への攻撃の可能性を警告されていた

8月26日、米軍施設から奇妙な報告が相次ぎ始めました。
冷凍・冷蔵ユニットが次々と故障したのです。現場の人々は、どの基地でも当初は電気系統の珍しいトラブルだろうと考えたとみられます。しかし、同じ現象を報告する施設は徐々に増えていきました。

こうした奇妙な報告をソーシャルメディアで目にしたフリーランスのジャーナリストが、大胆な仮説を立てました。M. Elizabeth氏はSubstackに「突飛に聞こえるのは百も承知ですが、どうか最後までお付き合いください」と書き、「誰かが軍の売店（コミッサリー）の冷凍庫をハッキングした可能性は、ゼロではないと思います」と述べています。

現時点で、米軍は誰が、あるいは何が原因で故障が起きたのかを確認していません。故障が起きた売店は、空軍基地、海軍施設、陸軍の駐屯地など少なくとも14か所に分散しています。これらの攻撃がDanfossの脆弱性公表のわずか2週間後に起きたのは、偶然かもしれません。

仮に偶然だとすれば、なおさら奇妙な一致になります。国防総省（DoD）の軍用店舗を統括する中央機関のDefense Commissary Agency（DeCA）は、過去にDanfossの技術を使用していたと明示しているからです。たとえば、2022年6月付の軍用店舗の請負業者向け技術仕様書のひな形で、DeCAはDanfossのAK-SM 800Aを、各種制御ユニットの「設計基準」として挙げていました。

世界中の小売業者に警鐘

Xona SystemsのCEO、Bill Moore氏は自身の経験を踏まえ、こう振り返ります。「こうした実店舗の多くで、さらに製造工場、発電所、石油・ガス施設でも同じですが、最大の問題があります。組織は自社ネットワークの分離（セグメント化）をかなりうまく実施しています。ところが運用技術（OT）の領域では、アクセスを必要とする機器メーカーや第三者が大勢います。企業はその点にほとんど注意を払ってこなかったのです」

多くのベンダーや機器メーカーに自社システムへのアクセスを認めた結果、企業は遠隔からの攻撃にさらされています。Moore氏は「こうした接続の多くは、可視性もガバナンスも文字どおりまったくありません。高い割合で当てはまると思いますし、全体では半数、あるいはそれ以上かもしれません。機器メーカーの好きにさせている状態ですが、多くのハッカーがこうした第三者の接続を侵害するのを我々は目にしてきました」と嘆きます。

CNBCに宛てた電子メールで、IntermarchéとNettoの親会社であるLes Mousquetairesは、一部店舗の冷蔵システムを担当する委託先のサービス事業者を経由して攻撃が行われたと説明しました。

Waterfall Security Solutionsで産業セキュリティ担当バイスプレジデントを務めるAndrew Ginter氏は、「要するに、機器をインターネットから切り離してください」と訴えます。実際、今週のShodanでの検索では、Danfossのシステムがインターネット上に数千台露出しており、フランスだけで約1,500台に上ることが判明しました。

Ginter氏は「理想を言えば、企業は制御システムをハードウェアで制御されたリモートアクセスの背後で守るべきです。しかし、それらの機器とインターネットの間に単純なファイアウォールを置くだけでも、かなり効果があります」と説明します。

基本的なファイアウォールについて、同氏は企業に次の対策を勧めています。

最後に、同氏は次のように付け加えます。「ファイアウォールは、きっちり4年ごとに交換してください。なぜか。インターネットに露出した機器を抱えている組織は、10社のうち9社までセキュリティチームを置いていません。そのため、ファイアウォールのサポートが終わり、自動更新が止まっても気づけないからです」

Ginter氏は「基本的な対策だけでは、大規模な重要インフラや重工業には十分ではありません。それでも、ハクティビストにみなさんの冷凍庫へ侵入されるのを防ぐうえで、大いに役立ちます」と締めくくり、こう訴えました。「機器をインターネットから切り離してください。今すぐ実行してください」