フランス全土のスーパーマーケットでハッカーが冷却システムを操作したと報じられている。温度が上昇して食品が腐敗したほか、当局はこの攻撃に関連するとみられる火災やその他の被害について調査している。
10月12日に発生したサイバー攻撃は、Intermarché、Netto、Coopérative U、E. Leclercが運営する店舗を含む、フランス各地の数百の食料品店の冷却システムを標的にした。 AFPによると、攻撃者は冷却設備の霜取りサイクルを作動させ、被害を受けた小売業者に生鮮・冷凍商品の在庫廃棄を余儀なくさせたという。
「これらは、破壊工作攻撃の次のフロンティアになるとセキュリティ業界が警告してきた、まさに同じカテゴリーのシステムだ」。HuntressでEMEA担当のバーチャルCISO（vCISO）兼サイバーセキュリティアドバイザーを務めるMuhammad Yahya Patel氏は、冷却設備などの運用技術システムについて、eSecurityPlanetにこう語った。
サイバーセキュリティチームにとって今回のインシデントは、接続された機器が侵害されると、ランサムウェアやデータ窃取を伴わずに物理的な業務を妨害し、在庫を破棄させ、安全上のリスクをもたらし得ることを示している。
ハッカー、フランス全土の冷却システムを操作
攻撃は10月11日から12日にかけての夜間に発生し、フランスの大手スーパーマーケットチェーン数社の冷却システムに影響を及ぼした。
初期の報道では、Intermarchéの約150～200店舗が標的になったとされていた。その後、 AFPの報道では、標的となったIntermarchéとNettoの店舗数は少なくとも300に上るとされた。Coopérative Uの被害店舗数は約100と報じられたが、公表された推計にはばらつきがある。
Le Mondeは、Carrefourの約80店舗が被害を受けたと報じた。一方、 フランス語版AFPの報道によると、Monoprixは約30店舗が被害を受けたことを確認した。
E. Leclercは、同社の冷却設備サプライヤー1社が関与するサイバー攻撃により、複数店舗のシステムが停止したことを確認した。機器の損傷や在庫の損失が発生した店舗の総数は、依然として明らかになっていない。
IntermarchéとNettoを運営するLes Mousquetairesは、攻撃者が冷却制御を操作したと報告した。GradignanのIntermarché店舗オーナーはLe Mondeに対し、冷蔵保管室の温度が50℃（122℉）に達し、自動スプリンクラーが作動したと語った。
Le Mondeは別の報道で、攻撃者が霜取りサイクルを1時間から8時間に延長し、警報を遅らせて被害を拡大させたと伝えた。この障害により、食品安全上の懸念から被害店舗は在庫を廃棄せざるを得なくなった。
パリ検察当局は、この大規模サイバー攻撃について捜査を開始した。 Reutersによると、検察当局は、報告された被害には食品の損失や火災が含まれると説明し、捜査当局は被害者を特定するとともに、インシデントの全容解明を進めている。
フランスのSébastien Lecornu首相も、国家サイバーセキュリティ機関ANSSIに対し、インシデントを調査し、追加の組織がさらされていた可能性を判断するよう指示した。
注目は、デンマークのメーカーDanfossが提供する冷却設備管理ソフトウェアに集まっている。
Danfossは、AK-SM800およびAK-SC355冷却コントローラーを影響を受けたシステムとして特定し、AK-SM800の一部のバージョンで古いファームウェアが稼働していたと説明した。同社は顧客に対し、サポート対象外の旧式機器を交換し、サポート対象システムを更新するよう助言した。
フランスのSébastien Lecornu首相に近い関係者は、ANSSIがDanfoss提供ソフトウェアの脆弱性を特定したと述べた。しかし、捜査当局は技術的な詳細を公表しておらず、攻撃者が最初にアクセスした方法も確認していない。
今回のインシデントは、Danfossの冷却コントローラーに影響する、過去に公表された脆弱性についても疑問を投げかけている。
2025年、Danfossは CVE-2025-41450を公表した。これは、4.2より前のソフトウェアバージョンを実行するAK-SM 8xxAコントローラーに影響する、深刻度の高い認証の脆弱性だ。
この脆弱性のCVSSスコアは8.2で、特定の条件下では認証を迂回される可能性がある。ただし、フランスのスーパーマーケットへの攻撃にこの脆弱性が何らかの役割を果たしたかどうかは、捜査当局も明らかにしていない。
冷却設備への攻撃がOTセキュリティに示すこと
今回の攻撃は、データ窃取やランサムウェアによる暗号化ではなく、接続された制御システムを通じて物理機器を操作したと報じられている。これは、サイバーセキュリティインシデントが業務運営を直接妨害し得ることを示すものだ。
業務用冷却システムは、接続されたコントローラー、遠隔監視プラットフォーム、複数拠点の設定をオペレーターが調整できるソフトウェアへの依存を強めている。
こうした機能は効率を高め、保守を簡素化する一方、アクセス制御やファームウェア、ネットワーク保護が不十分な場合にはセキュリティリスクをもたらす。管理インターフェースを侵害した攻撃者は、機器の設定を操作し、業務を中断させ、物理的な損害を引き起こす可能性がある。
Patel氏は、冷却インフラへの攻撃による金銭的影響は、目先の機器障害をはるかに超えて広がる可能性があると警告した。
「直接的な金銭的影響は大きく、目に見えるものだ」と同氏は述べ、被害を受けた各拠点で生鮮在庫が失われる可能性を指摘した。
業務の中断は急速に深刻化し得る。冷却システムが復旧し、安全性が確認されるまで、店舗は温度管理が必要な商品の販売や補充ができない可能性がある。これにより、侵害されたコントローラーは、より広範な事業継続上の問題へと発展する。
フランスでのインシデントは、古い産業システムのセキュリティにも疑問を投げかけている。eSecurityPlanetが以前、 組み込みデバイスのセキュリティリスクについて報じた通り、多くのOT機器やモノのインターネット（IoT）機器は、元のソフトウェアの保守が難しくなった後も、何年、場合によっては何十年も稼働し続けている。
こうしたシステムの交換には多額の費用がかかる可能性があり、更新の適用には計画的な停止が必要になる場合もある。そのため、接続されたインフラに依存しながら、脆弱な機器を容易には交換できない組織にとって、セキュリティ上の課題となる。
影響はスーパーマーケットにとどまらない。同様のリスクは、倉庫、医薬品保管施設、食品加工工場など、接続された機器が不可欠な稼働条件を維持している環境にも及ぶ可能性がある。
セキュリティチームが接続機器を保護するためにすべきこと
フランスのスーパーマーケットへの攻撃は、冷却設備、産業制御システム、その他の接続された運用システムを管理する組織への警告となる。
「欧州全域の食品小売業界は、自分たちが積極的に標的にされている兆候だと受け止めるべきだ」とPatel氏は述べた。
セキュリティチームは、物理的な業務に直接影響する機器が、従来型のITインフラと同じレベルの注意を受けているかを見直すべきだ。
直ちに取り組むべき5つのセキュリティ上の優先事項：
- 露出した機器を特定する。接続された冷却コントローラー、産業用機器、ファームウェアのバージョン、遠隔管理インターフェースのインベントリを整備する。外部ネットワークやサードパーティーサービスを通じてアクセス可能なシステムを特定する。
- 古いファームウェアを更新する。メーカーのセキュリティ勧告を確認し、サポート対象外の機器を特定する。Danfoss AK-SM 8xxAの管理者は、CVE-2025-41450、CVE-2025-41451、CVE-2025-41452を含む過去に公表された脆弱性について自社システムを評価し、メーカーの最新の対策ガイダンスに従うべきだ。直ちに更新するのが現実的でない場合は、代替となる防御策を適用し、交換計画を策定する。
- 遠隔アクセスを制限する。管理者アクセスを許可された担当者とベンダーに限定する。強力な認証を使用し、対応している場合は多要素認証を導入するとともに、不要な遠隔管理サービスを無効にする。
- 運用ネットワークを分離する。冷却コントローラーなどのOT機器を、企業ITシステムや無関係な機器から分離する。通信先を承認済みのシステムとサービスに限定する。
- 物理的な稼働状態を監視する。独立した温度アラートを設定し、不正な設定変更を調査するとともに、従業員が異常な機器の挙動を認識して対応できるようにする。
1つの接続システムへの侵入が組織のより広範なインフラを自動的にさらすことのないようにするため、ネットワークの隔離は特に重要だ。
組織は、運用の中断に特化したインシデント対応手順も策定すべきだ。eSecurityPlanetの 重要インフラのセキュリティから得られる教訓に関する分析で述べたように、ネットワークの可視性、安全な遠隔アクセス、OTに特化したインシデント対応計画は、依然として不可欠な防御策だ。
食料品小売業者にとって、これは単にネットワークが切断された場合以上の備えを意味する。対応計画には、食品安全、機器の復旧、在庫の廃棄、ベンダーとの調整、そして可能な場合に重要システムを手動で運用する能力を盛り込むべきだ。
セキュリティチームは施設管理者とも連携し、温度監視や緊急停止の仕組みを、侵害された管理ソフトウェアから独立して稼働させられるかどうかを判断すべきだ。
Danfossの冷却コントローラーを使用する組織は、具体的なモデルを特定し、ファームウェアのバージョンを確認して、メーカーのセキュリティ勧告を参照すべきだ。過去に公表されたCVE-2025-41450は、4.2より前のAK-SM 8xxAソフトウェアバージョンに特有の影響を及ぼすものであり、他のDanfoss製コントローラーにも自動的に影響すると考えてはならない。
Danfossは、 セキュリティ勧告も公開しており、追加のAK-SM 8xxA脆弱性2件を扱っている。CVE-2025-41451は、認証後のコマンドインジェクションの欠陥で、リモートコード実行を可能にするおそれがある。CVE-2025-41452は、サービス拒否を引き起こす可能性がある、認証後のWebインターフェース設定の脆弱性だ。いずれも4.3.1より前のソフトウェアバージョンに影響し、CVSSスコアはそれぞれ8.7と6.8だ。
これらのシステムを管理するセキュリティチームは、すべてのDanfoss製コントローラーが同じ影響を受けると決めつけず、メーカーの最新の対策ガイダンスに従うべきだ。
フランスでの捜査は続いており、関与した脆弱性の全容はまだ公に確定していない。
接続されたインフラを運用する組織にとって、当面の教訓は明確だ。侵害されたコントローラーは、全社的な緊急事態に発展し得る。脆弱な機器を特定し、遠隔アクセスを制限し、運用復旧手順をテストしているセキュリティチームは、サイバー攻撃が物理的な危機に発展する前に被害を封じ込めるうえで、より有利な立場にある。
関連情報：フランスのスーパーマーケットへの攻撃は、重要インフラに対する最近の別の脅威、 「ハッカー、1カ月で米国の100以上の水道システムを標的に」にも通じる。この記事では、攻撃者が露出した産業制御システムを悪用して業務を妨害した経緯を取り上げている。