ハッカーがフランスの3カ所の医療施設で、血漿を保管する冷却システムを操作しようとし、重要な医療物資が危険にさらされる可能性があった。
このサイバー攻撃は、11月1日から2日にかけてフランス血液機構（EFS）が運用する設備を標的にした。攻撃者は第三者の冷却設備プロバイダーを通じてアクセスし、温度と霜取りの設定を変更したとみられるが、監視システムが異常な活動を検知し、保管製品が損傷する前に阻止した。
今回のインシデントは、欧州で冷却システムに関連する別のサイバーインシデントが報じられた後に発生したもので、接続された運用技術の保守を外部ベンダーに依存するリスクを浮き彫りにしている。捜査当局は、これらの攻撃に関連性があるかどうかをまだ確定していない。
攻撃の展開
攻撃は11月1日から2日にかけて発生した。この間にハッカーは、EFSに接続する冷却サービスプロバイダーを侵害した。攻撃者はサプライヤーのシステムを通じて、血漿や生体サンプルを保管するEFSの3施設の冷却設備にアクセスした。
攻撃者は温度と霜取りのしきい値を操作し、保管製品を危険な高温にさらそうとした。
CBS Newsは、フランス紙Le Canard Enchaînéを引用し、設定が約マイナス30℃から110℃に変更されたと報じた。この数値は報じられた設定変更を指すもので、保管製品が実際に到達した温度が確認されたわけではない。
EFSの監視・警報システムが異常な変更を検知したため、職員は製品が損傷する前に介入できた。職員は影響を受けた設備を保全し、予防措置として保管中の血漿を別の施設へ移した。
DW-TVは、その後、影響を受けた冷蔵庫へのリモートアクセスが無効化されたと報じた。報道でサプライヤーとして特定された冷却設備会社Coolworldは、自社ソフトウェアに関するサイバーセキュリティインシデントを認め、報告された脆弱性は第三者コンポーネントに起因すると説明した。
EFSによると、インシデントの調査は現在も続いている。
冷却システムへの攻撃が広がる
今回のインシデントは、フランスなどで冷却システムが妨害された別の事例が報じられた後に発生した。ただし、捜査当局はこれらの事例が関連しているとはまだ確定していない。
10月には、ハッカーがフランスの数百のスーパーマーケットで冷却設備を妨害し、温度と霜取りの設定を操作して、広範な食品廃棄を引き起こした。
一方、国防総省は、8月に発生した少なくとも6カ所の米軍基地での冷凍庫の故障を調査しているが、フランスで最初の攻撃が起きた後になって広く知られるようになった。国防総省は、複数の米軍施設での冷却設備の故障がサイバー攻撃によるものかどうかを調査している。サイバー攻撃が原因だとは確認されていない。
攻撃の第2波は、ベルギー、オランダ、スウェーデン、ルクセンブルク、アイルランド、エストニア。The Guardianによると、数百の店舗や企業が影響を受けたと報じられているのは、11月1日から2日にかけての夜間で、EFS施設への攻撃と同じ時期だった。
フランスの血液銀行への攻撃が示すサイバーレジリエンスの教訓
今回のインシデントは、攻撃者が接続された設備へのアクセスを得た後でも、サイバーセキュリティ防御によって物理的な被害を抑えられることを示している。
「複雑な第三者依存がある以上、あらゆる侵入を防ぐことはできません。しかし、効果的な監視、物理的な安全対策、対応手順があれば、技術的な侵害がはるかに重大な事態へ発展するのを防げます」と、Exabeamのセキュリティ運用ストラテジストであるGabrielle Hempel氏はeSecurity Planetに語った。
Ridge Securityでテクニカルマーケティングエンジニアリング担当シニアディレクターを務めるDarin Fredde氏は、今回の攻撃は第三者のセキュリティ障害がもたらす結果が、より広範なものへと変化していることを反映していると述べた。こうした障害は、単にデータの窃取やサーバーの停止として現れるのではなく、組織が依存する物理システムにも影響を及ぼし得る。
EFSの監視・警報システムは異常な冷却設定を検知したと報じられており、職員は保管中の血漿が損傷する前に介入できた。今回の対応は、独立した監視、迅速なエスカレーション手順、そしてリモート管理システムが侵害された場合にも有効な安全対策の重要性を示している。
職場や自宅で接続された冷凍庫を使っているなら、できること
インターネットに接続された冷却設備は、特に制御システムにリモートでアクセスできる場合、セキュリティリスクを招く可能性がある。
Xcape, Inc.の取締役であるDamon Small氏によると、「人の安全に影響を及ぼし得るインターネット接続機器には、強力な認証とアクセス制御が必要です。適切なフィルタリングによって、アクセスは認証済みユーザーに限定すべきです。こうしたシステムは、他の重要な運用技術と同じレベルで保護されるに値します」
接続された冷凍庫を使用する個人や企業向け：
- 公開インターネットへの露出を避ける：冷却コントローラーを、パブリックIPアドレスを通じてインターネットに直接公開しない。
- リモートアクセスを保護する：リモートメンテナンスには、無制限のインターネットアクセスではなく保護されたVPNを利用する。
- デフォルトパスワードを変更する：冷却コントローラーに設定された工場出荷時の認証情報を変更し、関連する機器アカウントには固有のパスワードを設定して保護する。
- コントローラーファームウェアを更新する：機器メーカーが提供するセキュリティパッチをインストールし、必要に応じてサポート対象外のコントローラーを交換する。
- 温度設定を監視する：可能であれば、予期しない温度変化に対するアラートを有効にする。
- 重要な設備を分離する：企業は、運用コントローラーを専用のネットワークセグメントに配置し、通常のオフィスコンピューターから分離すべきだ。
EFSのインシデントは、接続された冷却設備を保護するには、機器そのものを安全にするだけでは不十分な理由を示している。組織はベンダーのアクセスも管理し、設備を独立して監視するとともに、侵害されたシステムが温度に敏感な物資に損害を与えるのを防げる対応手順を維持する必要がある。
医療機関、食品流通業者、その他の重要な冷却システムを運用する事業者にとっての優先課題は、サイバー攻撃によって遠隔設定の変更が気付かないうちに物理的な安全インシデントへと変わる事態を防ぐことだ。
その他のニュース： Harvard Universityの2025年のデータ侵害で約85万1000件の固有メールアドレスが流出したと、新たに公開されたHave I Been Pwnedの掲載情報が示している。侵害された卒業生や寄付者の情報が、標的型フィッシングやなりすまし攻撃を可能にする恐れがある。