米連邦捜査局（FBI）、米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）、米保健福祉省（HHS）などの政府機関は共同で、医療・公衆衛生をはじめとする重要インフラ分野で使われている冷蔵・コールドチェーン監視システムがサイバー攻撃の標的になる恐れがあるとして、警告を発しました。
欧州の冷蔵施設への攻撃
この警告は、欧州の食品サプライチェーンで使われている冷蔵システムへの一連のサイバー攻撃から数日後に出されました。身元不明のハッカーまたはグループが10月中旬から冷蔵システムを攻撃し始め、冷却装置の温度を上昇させています。あるケースでは、問題が発見・修正されなければ温度が302°F（150°C）まで上昇するはずの設定値に書き換えられていました。フランスでは数百のスーパーマーケットが、冷蔵庫や冷凍庫の霜取り機能が遠隔操作で作動させられたことによる危険な高温のため、大量の生鮮食品の廃棄を余儀なくされました。その後、攻撃は欧州各地に広がっています。
フランスの血液事業団（EFS）も攻撃に巻き込まれ、温度や霜取りのしきい値が遠隔で書き換えられたことで、あわや大惨事という温度上昇に見舞われました。EFSによると、医療機関や製造施設に血液製剤を供給する前の保管に使う一部の低温保管室で、温度が非常に高いレベルまで引き上げられていました。幸い、温度上昇は発見され、血液製剤が壊滅的な損失を被る前に対処が間に合いました。
攻撃元は確認されていませんが、分析では、攻撃に使われたバレットプルーフ・ホスティングが過去にロシアとつながりのある悪意ある活動でも使われていたことが判明しています。ただし、それだけで国家支援のハッキングと断定できるわけではありません。多くの場合、温度管理システムはメーカーの初期設定の認証情報を使って遠隔からアクセスされていました。
米国の重要インフラ事業者への警告
現在の攻撃の波は欧州を狙ったものとみられますが、世界規模に拡大する可能性があります。今回の警告は、医療機関、食品・化学製品の製造施設、輸送など、冷蔵・監視システムを使うすべての組織が対象です。いずれも標的になり得るためです。警告によると、悪意あるサイバー攻撃者は、パッチ未適用またはインターネットからアクセス可能な温度コントローラーや業務用冷蔵コントローラーの脆弱性や弱点を狙っています。攻撃が成功すれば、食品の腐敗、在庫の損失、火災の危険、ハードウェアの損傷につながる恐れがあります。
ハッカーは温度管理システムに遠隔からアクセスしているため、セキュリティ強化のうえで最も合理的な対策は、制御システムにインターネット経由でアクセスできないようにすることです。多くの攻撃では、初期設定の認証情報を使って温度管理の設定が書き換えられました。初期パスワードはすべて変更し、総当たり攻撃によるパスワード推測を防ぐため、パスワードを強化する必要があります。ソフトウェアは常に最新の状態に保ち、パッチを速やかに適用してください。ベンダーのサポートが終了したレガシー機器を使っている場合は、使用を中止して交換すべきです。
FBIサイバー部門のオペレーション責任者であるブレット・レザーマン氏は、次のように説明しています。「産業用の冷蔵・コールドチェーン監視システムは、食品や医薬品、その他の温度に敏感な製品を守っており、悪意あるサイバー攻撃者にとって魅力的な標的です。世界中の重要インフラ分野でこれらのシステムが狙われており、在庫や設備が危険にさらされています。今回のファクトシートでは、ネットワーク防御担当者がリスクを減らして業務を守るために取れる、具体的で実践的な手順を示しています。FBIは、これらのシステムに依存するすべての組織に対し、ガイダンスを確認し、推奨される緩和策を実施するとともに、不審な活動があればFBIに報告するよう強く求めます」
