ハッカーは米軍施設を妨害する新たな手段を見つけた可能性がある。今回の標的は冷凍庫かもしれない。
国防総省は、少なくとも6カ所の米軍売店で冷凍庫が解凍モードに入り、食品が腐敗したと報じられたことを受け、サイバー攻撃が冷却装置の故障を引き起こしたかどうかを調査している。
8月に起きたこれらの事例は、フランスのスーパーマーケットでの事例に先立つものだが、日常生活を支える設備、そして今回は軍事作戦を支える設備を制御するデジタルシステムを攻撃者がどのように操るのかについて、同様の不穏な懸念を浮き彫りにしている。
問題は、攻撃者がこうしたシステムを侵害できれば、標的に大混乱をもたらすために、ますます保護が強化されているデータやソフトウェアを侵害する必要さえなくなる可能性があることだ。
8月の事件が改めて注目を集めている
事件が起きたのは8月で、複数の米軍売店から冷却装置の故障が報告された。冷凍食品が腐敗し、店舗は一時、特定商品の販売ができなくなった。
Stars and Stripesはその後9月1日、陸軍犯罪捜査司令部がこの停電・停止を調査していると報じた。軍の食料品店に影響を及ぼした異例の設備故障が、軍による捜査の対象となった。
Reutersによると、アリゾナ州のFort Huachucaは8月26日、冷凍庫が夜間に解凍モードに入り、中身が温まって食品が腐敗したとFacebookページで明らかにした。
その他の被害を受けた施設には、カリフォルニア州のFort Irwin、ワイオミング州のF.E. Warren Air Force Base、ロードアイランド州のNaval Station Newport、ミシシッピ州のColumbus Air Force Base、カリフォルニア州のTravis Air Force Baseが含まれる。
しかし、これらの故障が意図的なサイバー妨害行為だった可能性が広く注目されるようになったのは、10月29日、Reutersが報じたところによると、捜査に詳しい4人の当局者の話として、国防総省が事件をサイバー攻撃の疑いがあるものとして扱っていることが明らかになってからだった。
ある当局者は同誌に対し、軍の捜査担当者が、10月初めにフランスで商用冷却システムを狙った同様の攻撃をめぐり、フランス側の担当者と連絡を取っていたと語った。
捜査当局は米国とフランスの事件をいずれかの攻撃主体と結び付けておらず、責任者もまだ特定していない。
国防総省はまた、サイバー軍の部隊が省庁横断の関係機関や法執行機関と緊密に連携していることを認めたが、これ以上の詳細の提供は控えた。
サイバー脅威が物理インフラを狙う傾向が強まる
米軍の冷却装置の故障がサイバー攻撃と明確に結び付いたわけではない。しかし今回の調査は、物理的な設備を監視・制御するシステムである運用技術（OT）をめぐる、より広範なセキュリティー上の懸念を浮き彫りにしている。
攻撃者は、水道事業者や燃料監視システムなど、接続されたインフラをますます標的にしている。従来のデータ侵害とは異なり、運用技術への攻撃は設備や重要サービスに直接干渉する可能性がある。
軍の冷凍庫をめぐる調査は、同様の脆弱性が商用冷却システムやその他の接続機器にも影響を及ぼす可能性があるのかという疑問を投げかけている。米国の事件で侵害されたコントローラー、不正なリモートアクセス、その他の原因のいずれが関与したのかは、まだ明らかになっていない。
水道システムは一例だ。2026年7月、FBIと環境保護庁（EPA）は、悪意ある攻撃者がインターネットに公開された上下水道事業者を標的にしていたと警告した。
燃料インフラも同様の注目を集めている。6月、TechRepublicが報じたところによると、ハッカーは自動タンクゲージ（ATG）システムを標的にしている。これらのシステムは、貯蔵タンク内の燃料レベルや漏れの可能性を監視する。
冷却システムも、こうした攻撃手法のより広範な変化の一部とみられる。
これらの事件は、標的や確認された結果に違いがある。それでも、共通するセキュリティー上の懸念を示している。攻撃者は、物理インフラを監視・制御するデジタルシステムに攻撃の機会を見いだしているのだ。
目的が水道業務の妨害であれ、燃料監視への干渉であれ、冷却設備の誤作動を引き起こすことであれ、こうしたシステムを侵害すれば、コンピューターや盗まれたデータをはるかに超える影響が生じる可能性がある。
米軍にとどまらない、私たち全員にとっての意味
インターネットに接続されたデバイスの増加により、これらの事件は軍以外にも関係する。スマートテレビ、防犯カメラ、コネクテッドカー、家電、産業機器がインターネット接続エコシステムに加わることで、リモートアクセスや遠隔操作の機会が増えている。しかし、こうした接続性はセキュリティーリスクももたらす。
企業にとって、サイバーセキュリティーの対象はコンピューター、サーバー、業務アプリケーションにとどまってはならない。
組織は、接続機器を購入する際にセキュリティーを優先し、ファームウェアの定期的な更新、セキュリティー文書、長期的な製品サポートを提供する信頼できるメーカーを選ぶべきだ。また、接続されたデバイスの台帳を整備し、更新が提供され次第インストールする必要がある。
フランスのスーパーマーケットへの攻撃は、この責任を軽視した場合の結果を示している。Danfossは、被害を受けた冷却コントローラーの多くがサポート終了を迎え、セキュリティー更新を受けられなくなっていた一方、サポート対象の一部の機器でも古いファームウェアが動作していたと明らかにした。コンピューターと同様、既知のセキュリティー上の欠陥にパッチが適用されなければ、接続された物理機器も脆弱なままになり得る。
個人にも学ぶべき教訓がある。スマートカメラやテレビ、ホームアシスタントは、設置したまま放置してはならない。
所有者は初期設定のパスワードを変更し、利用可能な更新をインストールし、不要なリモートアクセス機能を無効にするとともに、継続的なセキュリティーサポートを提供するメーカーを選ぶべきだ。スマートデバイスを独立したゲスト用またはIoT用のWi-Fiネットワークに接続すれば、個人のコンピューターやその他の機密性の高いデバイスへのアクセスを制限することもできる。
米軍の冷凍庫故障がサイバー攻撃によるものなのか、設備の誤作動によるものなのかは、まだ解明されていない。しかし今回の調査は、組織が接続された物理システムをサイバーセキュリティー上の責任の一部として扱う必要がある理由を浮き彫りにしている。
こうしたシステムが故障すれば、影響はネットワークの障害にとどまらず、物資の腐敗、サービスの中断、現実の業務上の損失にまで及ぶ可能性がある。
その他のニュース：偽のChatGPTとClaudeのダウンロードを使うハッカーが、GitHub上でホストされたダウンロードを通じてYobaマルウェアを拡散していると、Check Point Researchは報告している。