フランス各地のスーパーで10月12日、ネットに接続された冷蔵設備がサイバー攻撃を受けました。冷蔵庫や冷凍庫の温度が最高50℃まで上がり、被害は500店舗を超えたと報じられています。冷蔵・冷凍食品が大量に廃棄され、一部の店舗では火災も起きました。
被害の概要
Coopérative U（スーパーU）は約100店舗、カルフールは80店舗、モノプリは約490店舗の5%が被害を受けたと説明しています。E.Leclercも、冷蔵設備の供給業者がサイバー攻撃を受け、複数店舗の冷蔵システムの運用に影響が出たとAFPに認めました。被害店舗数は、報道によって数字に幅があります。
パリ検察は「大規模なサイバー攻撃」として捜査を開始しました。Coopérative Uのトップは今回の攻撃を「前例のない」極めて深刻なものと表現しています。
狙われたのはDanfoss製の制御機器
政府筋によると、仏国家サイバーセキュリティ庁（ANSSI）はデンマークのDanfoss社が供給するソフトウェアの脆弱性を特定しました。対象の機種はAK-SM800とAK-SC355です。
手口について、仏BFMTVは、攻撃者が多数の店舗で冷蔵システムの強制デフロスト（除霜）を遠隔で作動させたと伝えています。
注目されているのが、被害機の古さです。Danfossは、被害を受けたのは更新を止めた旧型が中心だと説明しています。一方で、Danfossは「限られた数の冷蔵管理システムに影響があった」とするにとどまり、被害台数は明らかにしていません。
8月に公表されていた脆弱性との関係
8月9日には、セキュリティ企業ClarotyのTeam82が、Danfossの制御機器AK-SM 800Aの脆弱性に関する調査結果を公表していました。ただし、仏当局もDanfossも、この脆弱性と今回の攻撃との関連は公式には認めていません。両者を結びつけて断定することはできません。
損失額と今後
損失額について、Les Mousquetaires（インターマルシェ運営）のティエリー・コティヤール代表は、国内全体で数千万ユーロ規模になるとの見通しをBFMTVに語っています。確定額ではなく、経営トップの見込みです。
ANSSIは対応を急いでいます。該当機種を使う事業者に対し、機器をインターネットから切り離すかアクセスを制限し、ソフトウェアを更新するよう助言しました。ほかの欧州諸国にも同様のリスクがあるとして、各国当局に注意喚起しています。
日本への影響
食品の鮮度を保つ冷蔵設備は、小売や物流、外食を支えるインフラです。今回の事例は、データを盗む攻撃ではなく、設備を物理的に壊す攻撃が、食品サプライチェーンに実害を出し得ることを示しました。保守が止まった旧型機器がネットにつながったまま稼働している状況は、日本の現場にも当てはまる可能性があります。
人気記事