スーパーマーケットの冷蔵庫や冷凍庫を狙ったとみられるサイバー攻撃の第2波が欧州各国に広がっています。高度なマルウェアを使わなくても、サイバー犯罪者が物理的な業務妨害を引き起こせる可能性があり、ネットワークに接続された冷蔵・冷凍システムのセキュリティに懸念が高まっています。
11月2日に報告された最新の事案では、ベルギー、スウェーデン、ルクセンブルク、フィンランド、アイルランドなど欧州7カ国の冷蔵設備が影響を受けました。被害を受けたとされるスーパーマーケットチェーンには、Carrefour、Intermarché、Coop、ICA、Delhaizeなどが含まれます。一部の冷蔵設備では、温度が最高50°Cに達するまで操作されたといいます。
これらの事案は、10月にフランスのスーパーマーケットを襲った攻撃に続くものです。このときは、冷蔵制御が侵害され、広範囲で食品が傷んだと報じられました。実行者とその動機は依然として確認されていません。それでも一連の攻撃は、インターネットに接続された運用技術（OT）が妨害行為の標的になり得ることを示しています。
世界で約1万3,000件の冷蔵サービスが公開状態
Forescout Research – Vedere Labsの最近の調査は、潜在的な問題の規模を浮き彫りにしています。
研究者らは、99の国と地域で、インターネットに公開された冷蔵サービスを計1万2,976件確認しました。これらは6,017個の個別のパブリックIPアドレスに関連しています。
確認されたもののなかには、Copeland/Dixell XWEBやDanfoss StoreViewの冷蔵管理システムに関連する公開サービスが数千件含まれていました。特定されたシステムの多くは古いバージョンのソフトウェアで稼働しており、攻撃者が既知の脆弱性を悪用する懸念が強まっています。
こうしたシステムは冷蔵設備を遠隔で監視・管理するために使われ、運用者はスーパーマーケットや食品保管施設、その他の温度に敏感な環境で温度を維持しています。
ところが、管理インターフェースが公衆インターネットからアクセスできる状態にあると、攻撃者が通常の運用に干渉できるおそれがあります。たとえば、温度を変更したり、霜取り機能を作動させたりする可能性があります。
影響はスーパーマーケットにとどまりません。食品加工、物流、医薬品など、信頼できるコールドチェーンのインフラに依存する他の業界にも及びます。
専門家、物理的・金銭的被害を警告
Huntressのタクティカル・レスポンス担当シニアマネージャー、ドレイ・アガ氏は、今回の事案が接続型の小売インフラの弱点を露呈したと警告しました。
「欧州各地でスーパーマーケットの冷蔵システムを狙った今回の攻撃は、接続型の小売インフラに明白な脆弱性があることを露呈しました。攻撃者は保護されていないリモートアクセス機能を悪用し、冷却ユニットを霜取りモードに切り替えて在庫を台無しにしています」
同氏は小売業者に対し、ファームウェアの更新を優先し、運用システムへの不要なインターネット接続を排除するよう促しました。
「この業界が冷暖房ネットワークを重要なセキュリティ対象として扱わない限り、こうした破壊的な攻撃は今後も続くでしょう」
今回の攻撃は、稼働し続ける必要がある旧式のモノのインターネット（IoT）機器を守る際に、組織が直面する難しさも浮き彫りにしています。
Acumen Cyberのプリンシパルコンサルタント、ネイサン・デイビス＝ウェブ氏は、AIによって攻撃者が接続機器の弱点を見つけやすくなっている可能性があると指摘しました。一方で、保守上の要件から脆弱性が未解決のまま残ることもあるといいます。
多くのIoTシステムは可用性を最優先するため、ファームウェア更新の日程調整や機器のオフライン化が困難です。旧式の機器では、最新のセキュリティ対策に必要な処理能力が足りない場合もあります。
デイビス＝ウェブ氏は、サポートが終了した機器でも本来の機能を果たしている限り、買い替えを金銭面で正当化するのは難しいと説明します。ただし、そうした機器を使い続ける組織には追加の防御策が必要で、とりわけインターネットや他の接続システムからの隔離が欠かせないと述べました。
同氏は事業継続計画の重要性にも言及しました。
冷蔵設備への攻撃では、システムを復旧しても、それは復旧作業の始まりにすぎない場合があります。傷んだ在庫を撤去し、設備を適正な温度に戻し、代替商品を調達してはじめて、通常営業を再開できます。
「IoT機器は、さまざまな脅威アクターにとってますます人気の標的になっています。今回の事例が示すように、金銭的な混乱や騒動を引き起こすだけでも、攻撃者にとっては利益になり得ます」と同氏は語りました。
ほかに何が狙われる可能性があるのか
ExabeamのフィールドCISO、フィンドレー・ホワイトロー氏は、リモートアクセス可能な機器に頼りながら、サイバーセキュリティの検証がほとんど行われていない重要な業務サービスが、ほかにどれだけあるのかと疑問を投げかけました。
「数週間前にはフランスで、そして今回は欧州のさらに数カ国で冷蔵システムが狙われました。動機は確認されていませんが、結果は明らかです。食品の腐敗、金銭的損失、営業の混乱です」
同氏は、暖房、換気、ビル管理システムにも同様のリスクがあり得ると警告しました。
「より大きな問いは、日常的なセキュリティ監視の外に置かれ、リモートアクセスが可能な機器に依存している重要サービスが、ほかにいくつあるのかということです」
ホワイトロー氏によると、組織はこれらのシステムに誰がアクセスできるかを把握し、正当な機能が悪用されていることを見抜き、安全に介入するための手順を整える必要があります。
同氏は、運用技術へのパッチ適用が複雑になり得る点も認めました。物理的な改修や計画的な停止が必要になる場合は特にそうです。
「企業は一時的に脆弱性を抱えたまま運用せざるを得ないかもしれません。それでも、悪用を検知して封じ込める計画は必要です」
旧式技術がもたらす深刻化するセキュリティ課題
Wireless Logicのプロダクトマーケティング責任者、イアン・デビッドソン氏は、今回の攻撃は、携帯電話網、有線、Wi-Fiで接続された老朽化した運用技術に依存することの結果を示していると述べました。
「多くの企業にとって大きな脆弱性は、老朽化した運用技術に依存していることです。冷蔵ユニットや産業用コントローラーの多くは、定期的なセキュリティ更新が提供されなくなった古いファームウェアで動作しています。それでも、携帯電話網、有線、Wi-Fiを通じてリモート管理プラットフォームにつながっていることが少なくありません」
同氏は、侵害された冷蔵設備がサプライチェーン全体に問題を引き起こし、食品の安全性、商品の供給、事業継続に影響を及ぼし得ると警告しました。
デビッドソン氏はまた、旧式の機器を簡単にアップグレードできない場合は、ネットワークレベルの監視がとりわけ重要になると主張しました。
通常とは異なる通信を特定し、悪意あるインフラへの接続を遮断できるセキュリティツールがあれば、個々の機器を改修しなくても、攻撃の封じ込めに役立つ可能性があります。
この課題は、地理的に分散した大規模な接続機器群を運用する企業にとって、とりわけ重大です。
高まるサイバーリスクにも自信を持つ小売業者
最新の事案は、物理的な業務に影響するサイバー攻撃の金銭的影響を、小売業者が十分に見込んでいるのかという疑問も投げかけています。
BeazleyのRisk & Resilience調査の数値によると、小売企業はテクノロジー関連の混乱にさらされるリスクが高まっているにもかかわらず、サイバーインシデントに耐える力に自信を持ち続けています。
同調査では、小売企業の87%がサイバーリスクへの備えがあると感じ、82%が攻撃から金銭面で回復できると考えています。
しかし、テクノロジーの混乱を主要なリスクに挙げた企業は23%にとどまり、テクノロジーの陳腐化を挙げた企業は20%でした。一方、34%はサイバーセキュリティとレジリエンスへの投資を増やす計画です。
Beazleyのより広範な2026年の調査も、最初の技術的問題が解決した後も長く、サイバーインシデントが業務を混乱させ得ることを指摘しています。
スーパーマーケットの場合、インシデントのコストは、損傷した機器の交換やシステムの復旧にとどまりません。傷んだ在庫、営業の中断、追加の人件費、食品安全上の要件、サプライチェーンの混乱がいずれも金銭的影響を膨らませます。
事業を支えるシステムをどう守るか
冷蔵設備を狙った第2波の事案は、ITセキュリティと施設管理の狭間に陥りやすい接続型技術に、改めて注目を集めました。
データの窃取やランサムウェアを伴う従来のサイバー攻撃とは異なり、冷蔵制御への干渉は、直ちに物理的な結果をもたらし得ます。
Forescoutの調査結果は、根底にある公開状態の問題が国際的であり、数千件の冷蔵管理サービスがオンラインでアクセス可能な状態にある可能性を示唆しています。
セキュリティの専門家は企業に対し、公開状態の機器を特定し、リモートアクセスを制限し、利用可能なファームウェア更新を適用し、異常な動きを監視し、運用技術をインシデント対応と事業継続の計画に含めるよう促しています。
さらなる攻撃が起こり得るなか、小売業者や、接続型インフラに依存する他の組織は、従来のITシステムほど注目されてこなかった機器のセキュリティを理解するよう、ますます迫られています。
翻訳元: https://www.itsecurityguru.org/2026/11/03/supermarket-freezer-cyberattacks-europe/
