フランスのスーパーで大規模サイバー攻撃、冷蔵システムが機能不全に
2026年10月13日、フランスの複数の大手スーパーマーケットチェーンがサイバー攻撃の標的となり、数百店舗の冷蔵システムが機能不全に陥りました。報道によると、冷蔵設備の温度は最大で50°Cにまで上昇し、大量の生鮮食品が廃棄せざるを得ない状況に追い込まれました（The Register）。この攻撃は、食料品の保管に使用される冷蔵・冷凍ユニットに影響を及ぼし、一部店舗では火災が発生する事態も報告されています。
サイバー攻撃によりフランスのスーパーマーケットの冷蔵システムが機能不全に陥り、食料品の大量廃棄や火災発生のリスクが報告されています。
被害を受けた主要なスーパーマーケットには、Carrefour（カフルール）、Coopérative U（コオペラティブ・ユー）、Intermarché（インターマルシェ）、Monoprix（モノプリ）などが含まれます。Intermarchéを所有するGroupement Les Mousquetairesは約150店舗、Carrefourは約80店舗、Monoprixは全490店舗の約5%、Coopérative Uは2,000店舗のうち80店舗が影響を受けたと発表しています（The Register）。Coopérative UのCEOであるDominique Schelcher氏は、食品部門への攻撃は「容認できない」と述べ、フランスの食料供給網に対する前例のない深刻な攻撃であると強調しました（The Register）。
脆弱性とインターネット接続の危険性
この攻撃で使用された具体的な侵入経路はまだ特定されていませんが、デンマークのDanfoss社製冷蔵コントローラーが標的となった可能性が指摘されています。Danfossは、被害を受けたスーパーマーケットが「古いファームウェア」を使用していたと説明し、システムの更新を常に推奨していると述べました（The Register）。
セキュリティ研究企業のClarotyは、以前からDanfossのAK-SM 800Aプラットフォームに脆弱性があることを公開していました。この脆弱性は、デバイスの現在の日付から生成されるコードを受け入れる隠れた認証メカニズムを利用するもので、設定された管理者パスワードをバイパスして管理アクセスを可能にするというものでした（The Register）。セキュリティ専門家のKevin Beaumont氏は、この脆弱性を利用することは「ゼロスキル」で可能であり、自身で簡単なスクリプトを作成したとコメントしています。
| 項目 | 説明 |
|---|---|
| 攻撃対象 | Danfoss社製冷蔵コントローラー（AK-SMおよびAK-SCシリーズ） |
| 脆弱性 | 日付から生成されるコードによる管理者パスワードバイパス（Clarotyが以前開示） |
| 攻撃手段 | 以前から知られている脆弱性を利用した可能性、古いファームウェアが要因 |
| 影響 | 冷蔵システム温度上昇（最大50°C）、食料品廃棄、一部火災発生 |
以前から指摘されていた脆弱性が今回の攻撃に利用された可能性があり、古いファームウェアの使用が状況を悪化させていると考えられます。
フランスのサイバーセキュリティ機関CERT-FRは、Danfoss AK-SMおよびAK-SCコントローラーの多数の侵害を報告し、ネットワークアクセスを切断または制限するよう警告しています。疑わしい侵害に対しては、工場出荷時設定へのリセット、セキュリティパッチの適用、資格情報の変更、アカウントの確認、および完全な再設定を推奨しています（The Register）。
Clarotyの研究者によると、冷蔵システムがインターネット経由でアクセス可能である主な理由は、中央エンジニアリングチームが遠隔で問題をトラブルシューティングできるためです。しかし、ClarotyのCTOであるAmir Preminger氏は、多くの産業制御システムが安全に隔離されたネットワークにあると「誤解されている」が、実際には「公共のインターネットに直接公開されている」ことが多いと指摘しています。この利便性はメンテナンスコストを削減する一方で、攻撃者にとっての侵入障壁を下げてしまうと警告しています（The Register）。
エンジニア目線で見ると：IoTセキュリティの教訓と実践的対策
今回のフランスのスーパーマーケットへのサイバー攻撃は、いわゆるIoT/OT（Operational Technology）デバイスのセキュリティがいかに重要かを示す、まさに教科書のような事例だと感じます。Danfoss製の冷蔵コントローラーが標的になった可能性があり、特に古いファームウェアの脆弱性が利用されたというのは、現場でシステム運用に携わるエンジニアにとって「あるある」であり、しかし看過できない問題ではないでしょうか。
以前から知られていた脆弱性が「ゼロスキル」で悪用できるとされている点も非常に気になります。Pythonバインディングが公開されていたら、自分のアプリに組み込んで脆弱性診断のツールとして使ってみたいくらいです。
クラウドでインフラを構築していると、ネットワークの隔離やアクセス制限は比較的容易に実装できますが、物理的なハードウェアに近いOTシステムでは、設計思想やレガシーな部分が足かせになるケースも少なくありません。特に、インターネットに直接公開されている産業制御システムは、今回の事例のように深刻な物理的損害に直結するリスクをはらんでいます。対策としては、まず管理インターフェースをインターネットから隔離すること、そしてVPNや適切なネットワークセグメンテーションを用いて、信頼できる管理ネットワークからのアクセスに限定することが必須だと考えます。
また、ファームウェアの定期的な更新は言うまでもなく重要ですが、それが物理的なダウンタイムを伴う場合、運用コストとのバランスをどう取るかも頭を悩ませるポイントです。Cloud Runのようなコンテナベースのサービスで同様のシステムを構築していれば、より迅速なパッチ適用やロールバックが可能になり、ダウンタイムを最小限に抑えられるのではないかと想像します。
