この頃、セキュリティ界隈で

「スーパーの冷蔵設備が50度に」フランスの店舗襲ったサイバー攻撃の正体　弱点だらけだったセキュリティ対策

公開 2026年10月22日 11時00分

[ITmedia]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

　フランスのスーパーマーケットで大量の食品が廃棄される事態を招いた大規模なサイバー攻撃。狙われたのは、冷蔵・冷凍設備の遠隔管理システムだった。今回の事件は、同様のシステムのセキュリティ対策がほとんど置き去りにされてきた実態を見せつけている。

　報道によると、サイバー攻撃は10月11日～12日（現地時間）にかけて発生し、大手スーパーなどの約700店舗で冷蔵・冷凍庫の温度が急上昇。中には庫内の温度が50度に達したり、発火したりしたケースもあった。

　被害に遭ったのは「Carrefour」「Monoprix」「Groupement Mousquetaires」「Cooperative U」などの大手スーパーで、各店とも傷んだ生鮮食品や冷凍食品の大量廃棄を余儀なくされた。

　事件については検察などがサイバー犯罪として捜査を続けているが、フランスのサイバーセキュリティ機関CERT-FRは10月16日に更新したアラートで、冷蔵・冷凍設備の遠隔管理システムを狙ったセキュリティインシデントについて警告した。

　影響を受けたシステムは、冷蔵設備の制御機器を製造するデンマークDanfossが手掛ける「AK-SC」および「AK-SM」シリーズと、米Copelandの「xweb」、Copeland傘下のDixellの「xweb」の各製品。いずれも遠隔管理システムに対する膨大な件数の侵害が確認されているといい、「危険区域から脱出」するための対策として、インターネットから切り離すようCERT-FRは勧告している。

以前から指摘されていた脆弱性

　英Reutersによると、攻撃では冷蔵設備の霜取り機能が不正に操作され、通常は一定時間だけ作動する霜取り運転が継続するよう設定されたケースもあったという。

　Danfossは事件直後に、サポート期限切れの製品や古いファームウェアを使用していた店舗が被害に遭ったとの見方を示した。顧客に対しては以前から、常にファームウェアを最新の状態に更新するよう促していたと記者団に説明したという。

　Danfossのスーパー向け冷蔵・冷凍設備管理システム「AK-SM 800A」については、8月の時点でセキュリティ企業の米Clarotyが複数の脆弱性を発見したと発表していた。

　Clarotyによれば、同システムの管理用インタフェースはインターネットに露呈され、一般にアクセスできる状態だった。そうした問題を悪用すれば、冷蔵・冷凍設備の設定温度を操作して、食品を解凍することも可能だったとしている。

　Clarotyによれば、Danfossのシステムは、既にサポートが終了している「AK-SM 800」や「AK-SC 355」も悪用された可能性がある。さらに、CopelandのxwebやDixellのxwebにも脆弱性が見つかっていたという。

　「冷蔵・冷凍設備の制御装置のような産業制御システムは、安全に隔離されたネットワーク上に存在していると思われがちだが、実はインターネットに直接露出していることが我々の調査で分かった」「そうすることでエンジニアが遠隔操作で問題に対応でき、メンテナンス費用は大幅に削減できる。一方で、攻撃者の侵入も容易になる」──Clarotyの専門家は英メディアのRegisterにそう語っている。

冷蔵庫のセキュリティ対策、責任の所在は？

　Danfossなどの各社は脆弱性の発覚を受けてファームウェアを更新し、指摘された問題に対処していた。しかし今回のサイバー攻撃は、店舗側がサポート期限切れのシステムや古いファームウェアを使い続けている現実を浮き彫りにした。

　冷蔵・冷凍設備の保守管理には、店舗の担当者や導入した業者、業務委託先の業者などさまざまな関係者がかかわる。CNNは専門家の見方として、被害に遭った店舗は冷蔵・冷凍設備の管理を外部の業者に委託していた可能性が大きく、そうした業者は冷蔵庫のセキュリティ対策のことなどほとんど何も考えていなかったのだろうと伝えている。

　DanfossやCopelandのシステムは、フランスだけでなく世界中のスーパーやコンビニで利用されている。今回の攻撃の影響はスペイン、ポルトガル、ポーランド、ドイツ、ベルギーにも及んだと伝えられている。

印刷する