security
「国内で、純粋に破壊工作だけを目的として行われた初のサイバー攻撃キャンペーン」
フランスは、10月に700店舗以上の食料品店で冷凍・冷蔵設備のコントローラーを狙って発生した破壊的サイバー攻撃をめぐり、イランへの圧力を強めています。この攻撃では食品が傷み、火災も発生しました。フランス政府は「あらゆる対応手段」を用いて行動を起こす方針を表明しています。
フランスのサイバー危機調整センター（C4）が月曜日に公表した報告書によると、スーパーマーケットへの攻撃はCasino、Leclerc、Coopérative U、Metro、Carrefour、Intermarchéの各グループに被害を及ぼしました。少なくとも15件の火災が起き、食品の損失は数千万ユーロ規模に上ります。
C4は、フランス国家サイバーセキュリティ庁、対外治安総局、国内治安総局、国防装備総局、サイバー防衛司令部で構成されています。
欧州・外務省は声明で、「規模と攻撃性の高さにおいて前例のないキャンペーンであり、国内で純粋に破壊工作だけを目的として行われた初のサイバー攻撃キャンペーンです」と述べました。
あらゆる兆候がCyberAv3ngersを示す
報告書と声明はいずれも、冷凍・冷蔵設備のコントローラーへの攻撃は、イラン革命防衛隊（IRGC）のサイバー部隊「Shahid Kaveh」によるものだとしています。フランスの国家安全保障当局者によると、この部隊を率いているのはReza SalarvandとMahdi Lashgarianの両氏です。Shahid Kavehは、CyberAv3ngersをはじめとするハクティビスト名義のほうがよく知られています。
このグループは、7月に米国で100以上のインターネットに露出した水道システムを狙った攻撃にも関与した疑いが持たれています。米国政府は侵入を特定の国やグループによるものとは断定していませんが、民間のセキュリティアナリストはイランの犯行だと指摘し、とりわけCyberAv3ngersの関与を疑っています。
IRGCと関係のあるこのハッキング集団は、長年にわたり産業用コントローラーに侵入してきました。2023年には、米国の国家安全保障機関と法執行機関が、米国の「複数の」水道施設に対する一連のサイバー攻撃をCyberAv3ngersによるものと断定しました。
欧州・外務省は「フランスの利益に対するイランのサイバー脅威は、今に始まったことではありません」と指摘しています。「イランはこれまでにも、当国を不安定化させる行為を何度も行ってきました。特に、2023年の週刊誌Charlie Hebdoへの攻撃や、2024年のパリ五輪の運営組織への攻撃が挙げられます」
フランス政府の報告書によると、Shahid Kaveh部隊は少なくとも2024年6月以降、Schneider Electric、Siemens、Rockwellの産業用制御機器をスキャンし、アクセスし、制御する能力を備えています。報告書は、冷凍・冷蔵設備のコントローラーへの攻撃をこのイランの集団によるものと結論づけており、その根拠は主に2点です。
攻撃元特定の根拠
1点目は、10月のスーパー攻撃に使われたインフラが、同じ時期にSchneider Electric製機器の偵察にも使われていたことです。偵察は、中小規模のエネルギー・水道生産施設に狙いを絞っていました。報告書は「これらの行動で使われた手法は、少なくとも2026年4月以降、Shahid Kaveh部隊が使用してきたことが知られています」と述べています。
報告書はまた、調査官が攻撃インフラに「ペルシャ語使用の痕跡」を見つけたことも明らかにしました。さらに、Shahid Kaveh部隊と関係があるとされるイランのメディア「CyberbanNews」が、10月11日深夜から12日にかけて起きた事件を「10月13日の早い時点で」、きわめて迅速に報じていたといいます。
11月初めには、商業用の冷蔵庫や冷凍庫を狙った同様のサイバー攻撃が欧州各地で報告されました。ベルギー、アイルランド、ルクセンブルク、スウェーデンの食料品店では、攻撃者が庫内温度を最高で華氏122度（摂氏50度）まで引き上げ、大規模な食品損失が出たと伝えられています。
先週には米国連邦政府が、この種の攻撃が米国に広がるのを防ぐため、設備の所有者と運用者に対してセキュリティ対策を講じるよう促しました。
反撃に動くフランス
フランス政府は、「欧州連合（EU）内でも、欧州や国際的なパートナーとともに、あらゆる対応手段を用いて、サイバー空間で自国を狙う不安定化・破壊行為を予測し、防止し、抑止し、これに対処する」としています。
具体的には、関与したイランの組織や個人に対するEUの追加制裁を提案する方針です。フランスはまた、イランの大使に対し「これらのサイバー攻撃への最も強い非難」を伝えるとしています。
ただし、フランスは厳しい言葉による対応にとどまらない可能性も排除していません。「フランスは、これらのサイバー攻撃に対処するために必要かつ相応と判断する追加措置を、公表・非公表を問わず講じる権利を留保します」としています。®
