米連邦政府の5機関は木曜日に共同勧告を公表し、スーパーの冷凍庫や冷蔵倉庫を安全な温度に保つコントローラーが攻撃者に狙われていると警告しました。攻撃者はこれらの機器を、加熱と霜取りを繰り返す状態に追い込む恐れがあります。
勧告を出したのは、CISA、FBI、保健福祉省（HHS）、農務省（USDA）、運輸省（DOT）です。世界各地で続く、産業用冷凍システムとコールドチェーン監視システムを狙った悪意ある活動に対応するもので、各機関は勧告を発表しました。
医療・公衆衛生、化学、食品・農業、運輸の各分野の組織は、冷蔵輸送も含め、これらのシステムに依存しています。温度の監視や記録、霜取りサイクルの管理、エネルギー使用量の抑制に使っているためです。
CISAのサイバーセキュリティ担当エグゼクティブアシスタントディレクター代行であるChris Butera氏は、次のように述べています。「政府、産業界、国際パートナーと緊密に連携し、CISAはこの脅威活動を積極的に追跡しています。冷凍・冷蔵システムや監視システムに依存するすべての組織は、自らが標的になり得ると考えるべきです」
FBIサイバー部門のオペレーション責任者であるBrett Leatherman氏は、世界の複数のインフラ分野でこれらのシステムが狙われており、在庫や設備が危険にさらされていると説明しました。同氏は「産業用冷凍・冷蔵システムとコールドチェーン監視システムは、食品や医薬品などの温度に敏感な製品を守っています。そのため、悪意あるサイバー攻撃者にとって魅力的な標的になっています」と指摘しています。
パッチ未適用で露出したコントローラー
各機関によると、攻撃者は小売の食料品店や冷蔵倉庫施設にある電子温度コントローラーや業務用冷凍・冷蔵コントローラーを狙っています。パッチが未適用の機器や、インターネットから到達可能な機器の脆弱性を突く可能性があります。侵入経路としては、認証バイパスや任意コードの注入のほか、不十分な設定が考えられます。
攻撃者が侵入すると、温度設定を遠隔から変更できます。機器を加熱状態に追い込めば「広範な在庫の損失や設備の危険を引き起こす恐れがある」と各機関は記しています。影響は、機器の寿命の短縮から火災の危険にまで及びます。
公衆衛生上も深刻な問題があります。不適切な状態で保管された食品や医薬品は、「危険な保管の後に消費されれば、間接的に消費者へ害を及ぼす」可能性があるためです。さらに、現場の担当者が機器内部の状況を把握できなくなる恐れもあります。各機関はこれを「denial-of-view condition（視認不能状態）」と呼んでおり、現在の温度が確認できなくなる状況です。
コントローラーをインターネットから切り離す
各機関は、所有者と運用者に「直ちに」対処するよう求めています。対策の筆頭は、コントローラーのパネルやその他の制御システム機器をインターネットに公開しないことです。遠隔アクセスが避けられない場合は、最新バージョンに更新したファイアウォールまたはエッジデバイスを経由させるべきだとしています。
運用者には、ほかにも次の対策が示されています。オペレーショナルテクノロジー（OT）機器を業務ネットワークから分離した専用のVLANに置くこと、デフォルトパスワードを変更すること、可能な限りフィッシング耐性のある多要素認証を有効にすることです。ファームウェアは最新の状態に保ち、ベンダーのサポートが終了した機器は廃止して交換する必要があります。
さらに、デバイスやIPアドレスの許可リストで変更できる主体を制限すること、検証済みのオフラインバックアップを保持すること、ログ記録を有効にすることも推奨されています。
リストの最後には、冷凍・冷蔵に特有の助言が挙げられています。コントローラーの下流にある機器について、安全な範囲に収まるよう妥当な設定値の上下限を定め、逸脱があればアラートを出すよう求めています。
Leatherman氏は「FBIは、これらのシステムに依存するすべての組織に対し、当局のガイダンスを確認し、推奨される緩和策を実施し、不審な活動があればFBIに報告するよう強く求めます」と付け加えました。
欧州で相次いだ攻撃
Help Net Securityは10月以降、欧州の冷凍・冷蔵システムに対する一連の攻撃を報じてきました。フランスの数百のスーパーでは、攻撃者が夜間に冷蔵庫や冷凍庫を制御するシステムを遠隔で乗っ取り、中身を温めるよう設定したため、在庫が傷む被害が出ました。
3週間後には、ベルギー、ルクセンブルク、スウェーデンの店舗を第2波の攻撃が襲いました。その後の報道では、フィンランド、アイルランド、エストニア、オランダも被害国に加わっています。
今週は、フランス血液事業団（EFS）が、冷凍・冷蔵機器のプロバイダーの1社が攻撃を受けた後、傘下の血液バンク3カ所で冷蔵室の温度上昇を検知したと確認しました。
攻撃者の特定には至っていません。ただ、複数の欧州諸国でほぼ同時に攻撃が起きていることから、国家支援の攻撃者による犯行の可能性も指摘されています。
翻訳元: https://www.helpnetsecurity.com/2026/11/06/cyberattacks-refrigeration-systems-cisa-fbi/
