攻撃者は、情報を盗まなくても深刻な被害を引き起こせます。温度設定を変更するだけで十分な場合もあります。
11月5日、米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）と連邦捜査局（FBI）、およびほか3つの連邦機関は、産業用冷凍・冷蔵設備とコールドチェーン監視システムの保護を運用者に求める警告を発表しました。
この警告は、欧州各地のスーパーマーケットの冷蔵システムに対するサイバー攻撃を受けたものです。これとは別に、フランスの国立血液事業機関は、3カ所の低温保管施設で監視・制御システムが影響を受けたことを明らかにしました。職員が対応したため、血液製剤や検体に被害は出ませんでした。この事案は、ネットワークにつながった冷却システムが、重要な物資を危険にさらしかねないことを示しています。
10月13日、フランスでの最初の攻撃を受け、冷凍・冷蔵機器サプライヤーのDanfossはオランダの顧客に対し、システムを公衆インターネットから切り離し、安全なネットワーク経由でのみ再接続するよう勧告しました。
Danfossの広報担当者はNOSに対し、ほとんどの店舗が勧告に従ったと述べました。11月2日に同様の攻撃がオランダに及んだ際、大手スーパーマーケットチェーンに被害はなかったと伝えられています。一方、少なくとも17の事業者で冷蔵システムが不正に操作されました。被害を受けたのは主に精肉店や小規模な地域密着型の店舗です。
Danfossによると、被害を受けたシステムは保護されていない接続経由でアクセスできる状態で、初期設定のパスワードが使われていました。広報担当者は、推奨された対策を講じていれば攻撃は防げたと述べています。
CISAと関係機関は、攻撃者が冷凍・冷蔵コントローラーの認証バイパスの欠陥やコードインジェクションの脆弱性、脆弱な設定を悪用する可能性があると警告しています。攻撃が成功すると、温度を変更されたり、機器を連続加熱や霜取りサイクルに強制的に切り替えられたりするおそれがあります。
各機関は、リスクを減らすために次の対策を推奨しています。制御パネルを公衆インターネットに公開しない、運用機器を業務ネットワークから分離する、初期設定のパスワードを変更する、強力な認証を使う、ファームウェアにパッチを適用する、サポートが終了した機器を交換する、といった対策です。あわせて、安全な動作範囲を設定し、温度がその範囲を外れた場合のアラートを設定することも推奨しています。
家庭用家電はどうなのか
こうした対策の一部は、産業用の冷凍設備がなくても取り入れられます。
- リモートアクセスが必要かどうかを確認しましょう。外出先から機器を使わないのであれば、その機能を無効にします。事前にメーカーの説明書を確認してください。リモートアクセスを無効にすると、通知やスマートホーム連携にも影響する場合があります。
- サプライヤーを含め、誰が機器にアクセスできるのか、そのアクセスがどのように保護されているのかを確認しましょう。
- 初期設定のパスワードを変更し、関連するアカウントも保護しましょう。機器やアプリが対応していれば、強力なパスワードを設定し、2段階認証を有効にします。機器本体だけでなく、アプリのアカウントを守ることも重要です。
- ファームウェアとアプリを最新の状態に保ちましょう。利用できる場合は自動更新を有効にし、手動での更新通知も放置しないでください。
