今週、欧州各地のスーパーマーケットで冷凍・冷蔵システムを狙った攻撃の第2波が発生しました。冷蔵・冷凍保管に頼る業種はスーパーに限らないため、同様の攻撃が「コールドチェーン」全体に及ぶのではないかという懸念が強まっています。
10月中旬の攻撃と同様に、正体不明の攻撃者が欧州の複数のスーパーの冷蔵コントローラーに侵入し、システムを霜取りモードに切り替えたとみられます。その結果、庫内温度は50度（華氏122度）まで上昇し、食品が傷む被害が出ました。
冷蔵庫ハッキングの第2波
BBC、ロイター、CNBCなどの報道によると、今回の攻撃は、10月の第1波と比べて規模が小さいとみられます。10月の攻撃ではフランスを中心に700店以上の小売店・食料品店が被害を受け、ベルギー、ドイツ、オランダ、ポルトガル、ポーランド、スペインでも少数の店舗が巻き込まれました。
BBCは、今回の攻撃がベルギー、ルクセンブルク、エストニア、アイルランド、スウェーデン、フィンランドを含む欧州7カ国の「数十店のスーパー」に影響したと伝えています。フランスのCarrefour、ベルギーのAhold DelhaizeやColruyt Group、スウェーデンのCoopといった複数のチェーンの広報担当者は、新たな攻撃による影響は程度の差こそあれ、比較的限定的だったと認めました。
11月2日の声明で、Carrefourは、冷凍・冷蔵システムを狙ったサイバー攻撃がベルギーの700店のうち15店に影響したと明らかにしました。商業用冷凍・冷蔵システムの制御技術を手がける米国のCopelandも、日付のない声明で、フランスの冷凍・冷蔵システムに影響したサイバーセキュリティインシデントに言及しました。同社は、このインシデントが製造終了となった世代の監視コントローラーに関係していると説明しています。
第1波、第2波のいずれについても、犯行声明を出した個人やグループはなく、動機は謎のままです。欧州の当局が現在、攻撃を調査しています。
昔ながらの問題、基本的なサイバーハイジーンの欠如
研究者らは、フランスのCERTなどを含め、これまでの攻撃をデンマークのDanfoss、イタリアのDixell、そしてCopelandが製造するインターネット接続型の冷蔵コントローラーと関連づけています。これらのコントローラーを使う組織は、リモートでの保守やサポートを可能にするためにインターネットへ接続することが多く、その結果、攻撃者による不正アクセスやリモート攻撃にさらされる可能性もあります。
リスクには、攻撃者が悪用できる、パッチ未適用の脆弱性も含まれます。たとえばClarotyの研究者らが今年8月に公開したDanfossのAK-SM 800Aコントローラーの3件の脆弱性や、同じ月に報告されたCopelandコントローラーの2件の脆弱性が該当します。脆弱な設定や不十分なセキュリティ対策も、大きな問題です。
運用技術（OT）・IoTセキュリティ企業Viakooのバイスプレジデント、ジョン・ギャラガー（John Gallagher）氏は次のように述べます。「脅威の大部分を占めるのは、設定ミスと組織的なハイジーンの欠如です。古いファームウェアには未修正の脆弱性が存在しますが、それが危険になるのは、特にインターネットに公開するときに、基本的なアーキテクチャ上の対策が省かれたからにほかなりません」
ギャラガー氏は、よくある過ちとして、デフォルトパスワードやベンダーが共有するサービスコード、数百拠点にわたる固定の認証情報が広く使われていることを挙げます。これではブルートフォース攻撃が容易になると同氏は付け加えます。
コールドチェーン全体に広がるリスク
こうした弱点は、スーパーの冷凍・冷蔵システムに限った話ではありません。セキュリティ専門家によると、インターネット接続、リモートアクセス、不十分なセキュリティ対策が重なれば、他の重要分野の温度管理インフラも同じように危険にさらされかねません。
Clarotyのフィールド最高技術責任者（CTO）、ショーン・タフツ（Sean Tufts）氏は、「医薬品の保管・流通、食品の物流センター、産業施設はいずれも、精密な環境条件を維持するために、接続されたOTに頼っています」と指摘します。
システムの導入方法、接続方法、保護の状況によって、リスクの程度は異なります。しかし、リモートアクセス可能な冷蔵・温度管理機器に頼る組織の多くは、資産の可視化、サードパーティによるアクセス、レガシーシステムの保護といった点で、同様の課題を抱えているとタフツ氏は話します。「機器や運用上の要件が異なっても、同じ種類の弱点はさまざまな業界に存在し得ます」
タフツ氏によると、侵害された場合に起こり得る影響は、業種によって異なります。
「医薬品の保管が妨害されれば、温度に敏感な薬が使えなくなるおそれがあります。食品の流通に影響が出れば、食品の腐敗やサプライチェーンの混乱につながりかねません」と同氏は語ります。「産業環境では、扱う材料やプロセスによっては、さらに運用上の影響が出る可能性もあります」
タフツ氏はさらに、今回のスーパーへの攻撃は、冷凍・冷蔵や温度管理のシステムが単なるバックヤードの設備ではなく、重要な業務の一部であることを思い出させるものだと指摘します。組織はこうした資産を洗い出し、インターネットやサードパーティとどのようにつながっているかを把握すべきだといいます。
「リモートアクセスが必要な場合は、VPN、強力な認証、あるいはセッション追跡機能を備えた集中型のセキュアアクセスツールを使ってください」。同氏は、デフォルトパスワードの変更、ファームウェアの最新化、ネットワークの分離も推奨されるセキュリティ対策だと述べています。
ギャラガー氏は、商業用冷凍・冷蔵システムへの攻撃がどのように行われたかは不明だとしたうえで、最も単純な仮説を示します。攻撃者はおそらく、Danfoss、Dixell、Copelandに関連するような特定のコントローラーのフィンガープリントを公開インターネット上でスキャンし、標的リストを作成したというものです。そのうえで、リスト全体に自動化スクリプトを展開して既知のWebの脆弱性を突くか、デフォルトの認証情報を送り込み、霜取りモードを一斉に作動させたとみられます。
ギャラガー氏は、商業用冷凍・冷蔵システムで通用した攻撃は、ほぼあらゆる形態のOTやIoTシステムでも通用し得ると言います。こうしたシステムはITの管理外に置かれることが多く、ファームウェアやパスワードを最新に保つ自動化された仕組みがなく、ネットワークの境界も穴だらけだからです。「ここ3年、運用への影響を狙うランサムウェアや、物理的な損害を引き起こすサイバー攻撃が増えています。これは、こうした攻撃が増加傾向にあり、特定の種類のシステムに限った話ではないことを示しています」
翻訳元: https://www.darkreading.com/ics-ot-security/fresh-european-fridge-attacks-cold-chain-security
