欧州の冷凍庫ハッキングはなぜこれほど広く、これほど速く拡大したのか

欧州のスーパーマーケットで相次いだ冷蔵庫へのハッキングは、オペレーショナルテクノロジー（OT）に共通する弱点が、サプライチェーン全体にどのように波及し得るかを示す教訓となっています。

報道によると、10月11日の夜、正体不明の攻撃者がフランスの数百のスーパーマーケットで使われている冷蔵・冷凍設備の制御システムに侵入しました。これにより、全国各地の冷蔵庫や冷凍庫で霜取りサイクルが長時間にわたって作動しました。被害はフランス国内だけで約700店舗に及び、損害額は数百万ユーロに達しています。食品が傷み、設備が破損し、一部では火災も発生したと伝えられています。

攻撃に悪用された技術には、Danfossの冷凍設備用コントローラーのほか、DixellやCopelandのXWEBシステムが含まれます。攻撃者がこれらのシステムにどのように侵入したのかは分かっていません。

ただ、今回の攻撃の中心となったDanfossのコントローラーは、インターネットからアクセス可能なWebサーバーを稼働させていました。多くの機器では、ユーザー名が「admin」、パスワードがその日の日付というデフォルトの認証情報でログインできる状態でした。CERT-FRは複数の対策を推奨しており、被害を受けたスーパーマーケットに向けた注意喚起で、デフォルトパスワードの変更、侵害された機器の工場出荷状態へのリセット、ファームウェアの更新などを挙げています。ただし、最後のファームウェア更新については、DanfossがAFPに語ったところでは、攻撃の多くはすでに更新の提供が終了した旧製品が対象だったということです。

共有インフラが招いた大きな被害

フランスのスーパーマーケットへの攻撃で際立つのは、冷凍設備のインフラに共通する弱点が、数百店舗にまたがる障害を引き起こしたとみられる点です。最初の侵入経路について、調査当局は公式には確認していません。しかし、組織が似通った技術や導入モデル、リモートアクセスの運用に依存することで生じるリスクが浮き彫りになりました。

SentinelLABSのディレクターであるChris St. Myers氏は、市場の集中ではなく、共通の露出問題が今回の事態を招いた可能性を示す証拠があると指摘します。

「CERT-FRは、フランスでの侵害にDanfossのAK-SMおよびAK-SCコントローラー、そしてCopelandやDixellのXWEBシステムが関与していたことを確認しました。これらの技術は多くの小売環境に導入されており、リモートアクセスの要件や構成も似通っていることが多いのです」とSt. Meyers氏は述べます。「そのため攻撃者は、本来無関係な組織に対しても同じ手口を使い回せるのです」

産業セキュリティ企業TributechのCEOであるThomas Plank氏も、攻撃の根本には共通の露出問題があると分析しています。

「集中しているのは設定のあり方です。チェーンや国が違っても、同じ構図があります。インターネットから到達できるリモート管理用コントローラーが、サポート切れのファームウェアのまま放置され、少数の委託業者が一か所から数百店舗を管理しているのです」と、Plank氏はDark Readingに語りました。「全員が同じ危険な運用パターンを同じ少数の経路で回していれば、一つの侵入口が国境を越えて、一夜にして多くの小売業者に届いてしまいます。今回が不運な店舗の連続ではなく、一連のキャンペーンに見えるのはそのためです」

冷蔵庫攻撃が示す既視感のある教訓

サイバー攻撃が食品サプライチェーンにこれほど大きな影響を与えるのは極めて異例で、前例もほとんどありません。ただ、最近の記憶に残る類似の事案がこれだけというわけではありません。

11月初めには、ベルギー、エストニア、ドイツ、アイルランド、ルクセンブルク、オランダ、ポーランド、ポルトガル、スペイン、スウェーデンなど他国の店舗でも、冷蔵・冷凍システムを狙った同様の攻撃が発生しました。同じ時期には、攻撃者がフランス血液機構が運営する3か所の血液バンクの冷蔵設備も標的にしました。ただし、血漿が損傷する前に攻撃は食い止められました。

これらの事案は衝撃的で影響も大きく見えますが、サプライチェーンを狙う攻撃は近年増えています。2021年のColonial Pipelineへの攻撃、イランによる米国各地の燃料監視システムへの攻撃、2024年のChange Healthcareの事案などがその例です。

スーパーマーケットという文脈では、危険性は明らかです。IoTデバイス管理企業QbeeのCTO（最高技術責任者）、Piotr Buliński氏は、スーパーマーケットチェーンでは冷凍・冷蔵、空調（HVAC）、ビル管理にまたがって、無人の小規模なOTシステムが数千台稼働していると説明します。「1拠点ごとには『コントローラーが数台あるだけ』なので、誰も重要インフラとして扱いません」と同氏は言います。「しかし、それらが停止すれば、被害は即座に、しかも物理的な形で現れます」

OTを守ることの難しさ

今回の一連の事案は、重要インフラを守ることの重要性をあらためて思い起こさせます。

OTシステムの更新は、ダウンタイムを伴うことが多く、それだけでも困難な作業です。産業プロセスを支える重要な技術の多くは、何年、場合によっては何十年も稼働し続けることを前提としています。しかもOTに依存する組織には、自治体やスーパーマーケットのように、専任のセキュリティ担当者を置く余裕がない組織も少なくありません。

こうした課題は年々、対処しやすくなり、取り組みを支援する専門企業も数多く登場しました。それでも、組織はいまだにOTの保護に苦慮しています。

St. Meyers氏は、小売業のOTは、根本的なリスクの多くが共通しているにもかかわらず、従来の産業環境に比べてセキュリティ上の注目を集めてこなかったと考えています。その一因として、冷凍・冷蔵、空調、ビル管理のシステムが、OTでありながら「従来のIT部門の管轄外で導入・保守されていることが多い」点を挙げています。

Plank氏も同意見です。小売業者にとっての解決策の一つは、機器側でエンジニアリング上の限界値に照らしてコマンドを検証することだといいます。攻撃で一部の標的機器が極端な温度に達したことに触れ、「どんな送信元から、どんな経路で届いたとしても、冷凍庫が50℃にせよという命令を受け付けるべきではありません」と述べています。

今回の被害の範囲外にいる組織が教訓とすべき点はいくつかあります。デフォルトパスワードを使わないこと、産業用技術がどこで、どのようにインターネットからアクセス可能になっているかを棚卸しすること、可能な限りインターネットへの露出をなくすこと、そしてすべてのアクセスポイントを確実に保護することです。

Sophosの脅威リサーチ担当シニアディレクター、Rafe Pilling氏はDark Readingに対し、今回の事案は小売業者全般への警告と受け止めるべきだと語りました。「エネルギー生産から水管理、食品の冷蔵に至るまで、産業システムは守られなければなりません。少なくとも、悪意あるハッカーがインターネット経由でアクセスできる状態にしてはならないのです」と同氏は述べています。