フランスのスーパー冷蔵設備攻撃 ── 遠隔監視の冷蔵コントローラが食品を温めた夜

2026年10月12日（月）の朝、 フランス各地のスーパーマーケットで、 店員が夜のあいだ冷やすどころか温まり続けていた冷凍庫を見つけた。 ファイルは暗号化されておらず、 顧客データも盗まれていない。 狙われたのは設備そのもの ── 店の冷蔵庫・冷凍庫・冷蔵室の温度を保つコントローラだった。

攻撃は10月11日（日）の夜から12日（月）にかけて行われた。 AFP と AP が伝えた BFMTV の報道によれば、 攻撃者は遠隔から強制的な霜取りを起動し、 設定温度を最高50℃にした。 Intermarché を傘下に持つ Les Mousquetaires は Reuters に、 約150店で冷蔵設備が一晩に6時間、 50℃まで温められたと述べている。 Intermarché は AFP に、 該当店舗はコールドチェーンを守るため対象の生鮮・冷凍品をすべて廃棄しなければならないと説明した。

被害店舗の数

最初の2日間に出回った数字は1つにまとまらない。 各社がそれぞれに数えたこと、 そして攻撃が「届いた」店が必ずしも在庫を失ったわけではないことが理由である。

Euronews は10月14日、 Reuters を引いて少なくとも350店としている。 Schelcher は、 被害を受けた U の店舗の多くは冷却を保てており、 食品を廃棄したのは一部だと述べた。 損失の公式な総額は出ていない。 Intermarché の CEO Thierry Cotillard は BFMTV に全国で1日に数千万ユーロ規模の損失を見込むと語り、 同社は AFP に、 店舗でのこの種の事故は保険の対象外だと述べている。

機器と警報

捜査に近い筋は AFP に、 デンマークのメーカー Danfoss の冷蔵制御システムが標的だったと語った。 CERT-FR（国家サイバーセキュリティ庁 ANSSI のインシデント対応部門）は10月12日に警報 CERTFR-2026-ALE-012 を出し、 冷蔵設備の遠隔コントローラについて多数の侵害を把握していると述べた。 対象は Danfoss の AK-SM・AK-SC シリーズで、 10月13日の版で Copeland xweb と Dixell xweb が加わった。 警報は10月16日にも改訂されている。

勧告は率直だった。 管理画面をインターネットに出すことは良い慣行に反する。 該当機器と、 公開 IP アドレスで露出しているすべての機器をインターネットから外し、 霜取りの設定を点検し、 遠隔アクセスは安全な VPN か保護されたネットワーク経由でのみ戻す。 警報は、 これらの機器を狙う攻撃はおそらく続いており、 セキュリティ修正のない（サポートが終了した）機器をインターネットに晒し続ければ侵害される可能性は非常に高いと警告した。 工場出荷状態へのリセットだけでは、 攻撃者の常駐は消えても機器の脆弱性は残り、 ほぼ確実に再び侵害される、 という。

Danfoss は AFP に、 影響を受けた機器の多くはソフトウェア更新もセキュリティ更新も受けない旧型製品だと述べ、 AK-SM800 と AK-SC355 を挙げた。 前者の一部は古いファームウェアのまま動いていたという。 Reuters には、 フランスで限られた数の冷蔵管理システムに影響する事案を把握していると述べ、 サポート中の製品は最新に保ち、 旧型は新世代へ移行するよう以前から顧客に勧めてきたと説明した。 影響を受けたシステムの数は示していない。

侵入経路は公式には説明されていない。 Sébastien Lecornu 首相の周辺は AFP に、 ANSSI がデンマーク企業の提供するソフトウェアに脆弱性を特定し、 メーカーと連絡を取ったと語ったが、 CVE 番号は示されず、 その脆弱性が攻撃に使われたとも述べていない。 Claroty の研究者は8月に新型 AK-SM 800A の欠陥を公表しており（修正済み）、 Reuters は10月13日に少なくとも4,500台の Danfoss の管理画面がネット上で見えることを確認した。 フランス当局も Danfoss も、 この研究と攻撃を結びつけてはいない。

捜査と政府の対応

パリ検察は AFP に、 フランス全土の大手食品小売数社の接続された冷蔵庫を狙った大規模サイバー攻撃について、 職権で捜査を開始したと明らかにした。 捜査はサイバー犯罪対策部が指揮し、 サイバー犯罪対策局（OFAC）に委ねられた。 目的は被害者を洗い出し、 食品の損失や発火といった被害と攻撃との関係を確かめることである。

首相周辺によれば、 Lecornu 首相は直ちに ANSSI に対応を指示し、 自ら案件を追っている。 ANSSI は、 他国も影響を受けている可能性があるとして欧州の同等機関と連絡を取った。 Sekoia の脅威インテリジェンス分析者 Félix Aimé は Reuters に、 スペイン・ポルトガル・ポーランド・ドイツ・ベルギーも影響を受けたと語ったが、 詳細は示していない。 EU の農業担当欧州委員 Christophe Hansen は攻撃を非難した。 Lescure 経済・財務相は10月13日、 国民議会で食料供給に危険はないと述べた。

10月中旬の時点で、 犯行を名乗り出た集団はない。 身代金の要求も確認されておらず、 Euronews はそれが捜査員を困惑させていると伝えた。 同じ週末にはオランダの小売大手 Ahold Delhaize でも別のサイバーセキュリティ事案が起きたが、 オランダの国家サイバーセキュリティセンター（NCSC）はフランスの攻撃との関連は見られないとしている。

データではなく温度

このサイトのサイバーセキュリティ年表に並ぶ事件の多くは、 データが抜かれたか、 コンピュータが止まったかの話である。 この件は熱の話だった。 Stuxnet は2010年に、 国家が物理設備を壊すためのマルウェアを作りうることを示した。 フランスの事件は、 同じ種類の結果が制御技術（OT）の最もありふれた末端 ── 保守業者がどこからでも調整できるよう遠隔管理された、 店の冷蔵パネル ── に届いたことを示している。

公式の説明に共通するのは、 高度な攻撃手法ではなく露出と老朽化である。 公開インターネットから届く管理画面、 その多くがメーカーの修正対象から外れた機器だった。 Schelcher は、 U の店舗はそもそも Danfoss から直接買っておらず、 システムを納める冷凍設備業者の顧客なのだと指摘した。 小売、 設備業者、 コントローラ、 メーカーと連なる鎖のどこで、 インターネットに面した機器の責任が抜け落ちたのか。 執筆時点で捜査の結論は出ていない。