仏スーパー数百店にサイバー攻撃、冷蔵庫が50度に　食品を大量廃棄

フランスのスーパーマーケット数百店舗が現地時間10月12日未明、組織的なサイバー攻撃を受けた。冷蔵庫や冷凍庫の温度が引き上げられ、食品が傷んだほか、一部では火災も発生した。

　AFPの報道によると、フランスの大手食品スーパー3社、E. Leclerc、Intermarche、Cooperative Uは、数百店舗でネットワークに接続された冷蔵庫や冷凍庫が攻撃者によって数時間にわたり霜取りモードに切り替えられ、温度が摂氏50度まで上昇したと報告した。パリ当局はAFPに対し、ほかの食品スーパーも被害を受けたと説明した。

　攻撃の実行者や、侵入に至る具体的な手順は不明だが、攻撃者はDanfoss製の2種類のシステムコントローラーのソフトウェアを標的にした。同社は業界専門メディアCooling Postに対し、被害を受けたシステム「AK-SM800」と「AK-SC355」では、古いファームウェアが使われていたと説明した。「被害を受けた顧客と協力し、適切な対策を進めている。これには、更新版が提供されているファームウェアの更新、ネットワーク保護の強化、システムがインターネットから直接アクセスできる状態の解消が含まれる」と、DanfossはCooling Postに述べた。

　DanfossはAK-SM800のウェブページで、「セキュリティーを重視している」とし、安全性を高めるために「新たな対策を導入している」と説明している。

　Danfossの担当者にコメントを求めたが、すぐには回答が得られなかった。

　今回の事件には、いくつもの懸念すべき点がある。ネットワークにつながる機器、特に古い機器が攻撃の標的になり得ることが改めて示された。さらに、フランスのスーパーを狙った今回の攻撃は、世界の食料供給に潜む弱点が、短時間で悪用されて危険をもたらす可能性があることを浮き彫りにした。

　Cooperative Uの最高経営責任者（CEO）であるDominique Schelcher氏はXへの投稿で、攻撃についての調査が進んでいると述べ、「生鮮食品の保存とフランス国民への食料供給に欠かせない設備を標的にすることは、極めて重大であり、前例がない」とした。

IoTが攻撃対象に

　フランスのスーパーへの攻撃は、運用技術（OT）やコールドチェーンのインフラに対する攻撃リスクが高まっていることを示している。今回の冷蔵庫や冷凍庫は、アプリでの操作やタッチスクリーンを備えた家庭用のスマート冷蔵庫ではない。しかし、コントローラーはインターネットに接続され、多数の店舗の霜取りサイクルや温度、アラームを遠隔管理していた。

　企業がこうしたOT機器を利用する理由はさまざまだ。温度を記録して食品安全基準を満たしているか確認したり、今回のようなセキュリティー上の問題を防ぐためにファームウェアを更新したり、冷蔵庫や冷凍庫の不具合を知らせる通知を受け取ったりできる。こうした機器の中には、在庫を監視したり、電子棚札の価格表示を更新したりするものもある。

　サムスンなどの家電は、ハッキングだけでなくソフトウェアの不具合の影響も受ける。韓国では最近、ソフトウェアの不具合によって一部のスマート冷蔵庫が使えなくなる事例も起きた。こうした業務用機器も同様に、完璧ではないソフトウェアとインターネット接続に依存しており、その接続によって外部からアクセスされる可能性が生じる。

　Darktraceでグローバル脅威インテリジェンス担当シニアバイスプレジデントを務めるNathaniel Jones氏は、ネットワークにつながるシステムに組み込まれた古いITシステムや運用システムは、特に防御が難しい場合があると指摘した。「サイバー攻撃などのインシデントが影響を及ぼすのは、もはやデータや業務システムだけではない。物理的な設備を操作し、現実世界に被害をもたらすこともある」

　こうしたシステムが多くの拠点に設置され、そのすべてがインターネットからアクセスできる状態にあれば、被害は急速に広がり得る。Jones氏は米CNETへの電子メールで、「接続されているものは、標的になり得る」と述べた。

　それだけでも恐ろしいが、同種の脆弱性は、電力網や水道事業者、さらには原子力発電所といった社会インフラも攻撃にさらす可能性がある。