欧州のスーパーが標的に：ハッキングされた冷蔵設備
欧州のスーパーマーケットの冷蔵設備を狙ったサイバー攻撃：2026年11月2日時点で分かっていること、修正済みのDanfossの脆弱性、そして設備を守る方法。
スウェーデンのシェーボ（Sjöbo）で、ICA Kvantumのスーパーマーケットが、何者かに冷蔵庫と冷凍庫の温度を 50 °C に設定されたと報告した。従業員は該当する商品を廃棄しなければならなかった。これはAP通信が2026年11月2日に報じた事例の一つで、ベルギー、ルクセンブルク、アイルランド、エストニアでも冷蔵システムの不具合が報告されている。カルフールはベルギーで15店舗が影響を受けたとし、Musgraveはアイルランドで13のSuperValuが影響を受けたとしている。
サイバー攻撃はこういう形をとることもある。会社のウェブサイトは動き続け、レジもおそらく動いている。しかし商品を保管する設備には、誤った命令が届いている。店舗を運営する側にとって、被害は撤去すべき商品、無駄になった作業、そして安全に営業を再開できるかどうかで測られる。
ここに記した状況は2026年11月2日時点のものである。欧州の複数の国で事件が起きているが、ある一つの新しい脆弱性が欧州全体を襲っていると言うのは、確認されている事実の範囲を超えている。リスクを理解するには、攻撃に関する報道と、すでに文書化されている技術的な欠陥とを切り分ける必要がある。
スーパーの冷蔵設備への攻撃について分かっていること
技術的に重要な前例は10月にさかのぼる。フランス政府のインシデント対応センターであるCERT-FRは10月12日に警報を発表し、16日に更新した。そこには Danfoss AK-SMおよびAK-SC、Copeland xweb、Dixell xweb の冷蔵用リモートコントローラーが多数侵害された事例が記録されている。
つまりこの警報は複数の機器ファミリーにまたがっている。すべての事件を説明する単一のCVEを特定しているわけではない。ある製品に欠陥が存在することと、その欠陥が特定の店舗で悪用されたという証拠とは、別の情報である。10月の事例と11月の事例を結びつける際にも、同じ慎重さが必要だ。
企業にとっては、これが対応の仕方も変える。脆弱性の名前だけを探していると、まだ外部からアクセスできる古いリモートパネル、保守業者のために開けたままのアクセス、あるいはすでにサポートが終了した機器を見落とすおそれがある。
ウェブパネルが物理的な設備を制御する仕組み
Claroty Team82はDanfoss AK-SM 800Aコントローラーに関する調査で、温度、スケジュール、アラーム、保守を一元管理するコンソールについて説明している。技術者は各店舗に出向かなくても、ブラウザから作業できる。問題は、このインターフェースがインターネットに直接公開され、悪用可能な脆弱性を抱えている場合に生じる。
研究者たちは Censysを通じて2,765台の公開された機器 を確認した。これは調査時点で到達可能だった攻撃対象領域の規模を示すもので、攻撃を受けたスーパーマーケットの数ではない。さらに、日替わりコードに基づく代替認証の仕組み、コマンドインジェクション、ウェブサーバーの設定を改ざんできる可能性についても分析している。
これらのシステムは 運用技術（OT） に属する。ソフトウェアが物理的な仕事をする機器とやり取りするということだ。したがってパネルの欠陥は、設備の運用に影響を及ぼしうる。どのような結果になるかは、到達可能な機能と実際に施されている防御によって決まる。機器がネットワークにつながっているというだけでは、侵害された証拠にはならない。
文書化されたDanfossの脆弱性はすでに修正済みだった
メーカーのアドバイザリを見れば、ニュースの見出しに頼らずにモデルとバージョンを確認できる。AK-SM 8xxA シリーズについて、Danfossは2025年に次の公告を発表している。
| CVE | 文書化された問題 | 修正バージョン |
|---|---|---|
| CVE-2025-41450 | 認証の欠陥。機密情報へのアクセスが可能 | 4.2 |
| CVE-2025-41451 | 認証後のコマンド実行 | 4.3.1 |
| CVE-2025-41452 | 認証後のウェブ設定の改ざん。サービス停止の可能性あり | 4.3.1 |
影響を受けるのは、アドバイザリに記載された同シリーズのうち、それぞれの修正リリースより前のバージョンである。
最初の項目は2025年3月24日公開のDSA-2025-03-01、残りの二つは2025年8月1日公開のDSA-2025-08-01によるものだ。後の二つは認証を必要とする。それだけを取り出して認証情報なしのコード実行と説明するのは不正確である。
表のバージョンは、これらの公告の修正が導入されたバージョンである。今から古いファームウェアをインストールせよという意味ではない。正確なモデルについて現在推奨されているリリースと、設備との互換性を確認する必要がある。これらのCVEは現実のリスクを示しているが、11月2日の攻撃の技術的な原因を特定するものではない。
冷凍・冷蔵設備の保守業者と確認すべきこと
最初の確認はきわめて具体的だ。管理コンソールに誰がアクセスできるのかを把握することである。CERT-FRは、公開状態を解消し、安全なVPNまたは保護されたネットワーク経由でアクセスを復旧するよう推奨している。また、霜取り間隔を含む設定の確認も求めている。工場出荷時の状態に戻すだけでは、修正が適用されていない機器は、再び公開されれば脆弱なままだ。
Danfossのセキュリティ推奨事項も、ネットワークの分離、ファイアウォール、管理されたリモートアクセス、アップデート、初期パスワードの変更を強調している。技術者に便利なアクセスを用意することと、パネルを誰にでも開放しておくことは、まったく別の選択である。
話し合いの準備として、保守業者とネットワークの担当者に、次の四点を一緒に整理してもらおう。
- 資産台帳：コントローラーの正確な型番、インストールされているファームウェア、サポート状況、アップデートの担当者。
- アクセス：遠隔保守で使われる経路、許可されたアカウント、外部から到達可能なサービス。
- 継続性：検証済みの設定のバックアップ、復旧の手順、営業時間外に対応できる担当者。
- アラーム：通知の受信者、それが実際に機能しているかの確認、そして事業者の手順に沿った独立した温度監視。
これは設備を保守する側と調整しながら進めるべき作業である。やみくもに接続を切ると、サービス契約で定められた監視まで止めてしまうことがある。温度に異常がある場合は、まず技術責任者に対応してもらい、会社の食品安全手順に従うことが優先だ。ITの原因究明は、緊急対応と並行して進める必要がある。
ティチーノの店舗や企業にも関係する理由
スイスの事業者にとっての教訓は、アクセスと責任の所在にある。ウェブサイトを管理する人がルーターを管理しているとは限らず、ルーターを保守する人は冷蔵コントローラーのことを知らないかもしれない。そして冷凍・冷蔵の技術者は、何年も前に設定した接続を使っているかもしれない。誰も共通の見取り図を持っていなければ、緊急の警報を誰が確認すべきかさえ分からなくなる。
これはPHPとNode.jsのランタイムの保守で私たちが直面するのと同じ組織上の問題だ。パッチがあると知っていても、実際にどのバージョンが動いているのか、誰がそれを入れ替えられるのかが分からなければ、ほとんど役に立たない。運用設備の場合はさらに、継続性の制約と専門的な知識を考慮しなければならない。
次の緊急事態の前にネットワークの点検を
Webcracyでは、承認されたセキュリティ診断の一環として、システムへのアクセスを洗い出し、ネットワークの露出状況を評価するお手伝いができる。その際はお客様のITベンダーと、設備については担当の保守業者と連携する。出発点は、検証可能な名前、バージョン、責任の所在を押さえておくことだ。そうすれば、警報は対応できる人への具体的な依頼に変わる。
参考写真：Unsplashに掲載されたHaberdoedasの写真をUnsplashライセンスに基づき使用。写っているスーパーマーケットが攻撃の対象になったとは報じられていない。