英国企業も被害、欧州全域のスーパー冷蔵設備を狙うサイバー攻撃

業界団体によると、欧州全域で相次ぐ冷蔵システムを狙ったサイバー攻撃の波に、英国の食肉卸業者3社が巻き込まれました。

欧州各国のスーパーマーケットや食料品店の冷蔵庫制御システムが、月曜日の未明にハッキングされました。数週間前のフランスでの第1波に続く第2波の攻撃です。正体不明の攻撃者が冷蔵庫を解凍状態にし、在庫を腐らせました。

英国独立食肉卸協会（AIMS）はRecorded Future Newsに対し、被害に遭った会員3社は、脆弱なCopeland XWEB監視コントローラーを通じて攻撃されたと説明しました。Copelandにコメントを求めましたが、すぐには回答がありませんでした。

AIMSのスポークスパーソンであるトニー・ゴッジャー氏は、会員企業が同じソフトウェアを使っていたために「巻き添え」になったと述べました。被害に遭った会員で食肉を失った企業はないとしたうえで、今回の事案は「食品業界のすべての企業に対し、サプライチェーンのどの段階にいても、自社が標的と見なされ得ることを思い起こさせるものにならなければならない」と語りました。

犯行声明を出したハッカーはいません。英国当局は、特定のグループの犯行とは断定していないとしています。ベルギーのサイバーセキュリティ機関の広報担当者はRecorded Future Newsに対し、「背後にいる者を特定できない可能性もある」と述べました。

英国の青果卸売業者Langridge Organicも、業界紙The Grocerに対し、攻撃を受けたと明かしました。同社のマネージングディレクターであるアレックス・ピアース氏は、攻撃者がコントローラーに侵入したあと、「驚くほど多くのパラメーター」を変更していたと述べています。

ピアース氏は、冷蔵庫が遠隔操作で解凍モードに切り替えられるのを確認し、その冷蔵庫をインターネットから物理的に切り離したといいます。「ライブで行われているハッキングを中断させたのだと確信している」と話しました。従業員による物理的な対処のおかげで、腐った在庫はなかったとのことです。

報道によると、英国の業者はいずれも、8月からファームウェアの更新が提供されていた脆弱な温度コントローラーを使っていました。AIMSの会員間で共有されたセキュリティ通知によれば、Copeland XWEBのファームウェア（バージョン1.12.1以前）には、「パスワードなしで乗っ取りを可能にする深刻な認証バイパスの脆弱性」が存在していました。

NCSC「国全体への影響は最小限」

英国の国家サイバーセキュリティセンター（NCSC）は火曜日、冷蔵設備への攻撃を把握しており、被害組織を支援していると発表しました。職員は夜通し作業を行い、脆弱なシステムをインターネットに公開していると検知した企業に、先回りして連絡を取ろうとしたといいます。

同センターの年次報告書の発表の場で、運用部門責任者のポール・チチェスター氏は、これまでの影響は「最小限」だと述べました。

NCSCの最高経営責任者であるリチャード・ホーン氏は、「国全体で見れば影響は最小限だが、被害を受けた事業の経営者にとっては、従業員も含めて大問題だ」と付け加えました。

NCSCの年次報告書は、「基本的なサイバー防御すら実施されていない」状況に警鐘を鳴らしました。ホーン氏は、今後数か月のうちに英国が「サイバーインシデントの前例のない急増に直面する現実的な可能性がある」と警告しています。

冷蔵庫攻撃で被害を受けた企業は、欠陥が知られたファームウェアを使っていた点で、この傾向に当てはまるようです。8月には、産業用サイバーセキュリティ企業のClarotyの研究者が、CopelandのXWEB Proコントローラーに存在する24件近い脆弱性を公表していました。

フランスで起きた第1波の攻撃について、NCSCは高度なものではなかったとしています。チチェスター氏は「長期間にわたって存在していたことが間違いない脆弱性を悪用している」と述べました。

ホーン氏は、冷凍庫への攻撃は、同機関が報告書で警告した脅威の「ほんの入り口にすぎない」と語りました。「悪用されるのを待っているとも言える脆弱性が、世の中にはあまりにも多い」と指摘しています。

同機関の最高技術責任者であるオリー・ホワイトハウス氏は、「ここ数年にわたり警告を出してきたにもかかわらず、2026年になってもこうした機器の一部がインターネットに接続されたままで、驚いた」と、自身や同僚の受け止めを述べました。

AIMSは政府に対し、英国の重要国家インフラの指定において、食品セクターをより明確に位置づけるよう求めています。現行法の下では、食品セクターの個別資産は重要インフラに指定されていません。

食品セクターは、近く成立する見込みのサイバーセキュリティ・レジリエンス法案の対象にも含まれていません。同法案は、必須サービスの事業者に対し、脆弱なシステムへの迅速なパッチ適用など適切なセキュリティ対策の維持を義務づけ、重大な不備があれば最大1,700万ポンド（2,200万ドル）、または全世界売上高の4％の罰金を科すものです。

欧州連合（EU）の同様の法律であるNIS2は、食品の生産・流通も対象としています。ただし、Politicoが報じたように、その対象範囲の広さから、「アイスクリームメーカー、クリスマスライトの製造業者、ドイツの家主」まで巻き込みかねないとの批判も出ています。