スーパーの冷凍・冷蔵設備にサイバー攻撃、大規模な被害を招いた「弱点」とは　フランス

4 時間前 2

（CNN）フランス各地でスーパーマーケットがサイバー攻撃を受け、冷蔵・冷凍設備が乗っ取られる事件が起きた。

被害に遭ったスーパーは約700店に上る。何者かが冷凍・冷蔵設備に不正アクセスして霜取りを作動させたために庫内の温度が上昇。各店とも床が水浸しになり、大量の生鮮食品や冷凍食品を廃棄せざるを得なくなった。

事件については当局が捜査を続けている。ロラン・レスキュール経済相は13日、「誰もが警戒しなければならない」と警鐘を鳴らした。

これまでのところ犯行声明は出されておらず、ランサムウェア攻撃のような身代金の要求もない。英サイバーセキュリティ―専門家のケン・マンロー氏はCNNの取材に対し、単なるいたずらか、騒ぎを起こすことが目的だったとの見方を示した。

フランスのサイバーセキュリティー企業セコイアの研究者フェリックス・エメ氏は、個人または集団が、経済活動やインフラを混乱させる目的でサイバー攻撃を実行した可能性も排除できないとしている。

エメ氏によると、冷蔵・冷凍設備の制御装置に対して不正なコードが使われた形跡がなかったことから、実行犯を突き止めるのは難しいかもしれないという。

パリ検察は13日、「フランス全土で複数の大手スーパーの冷蔵設備が被害に遭った大規模サイバー攻撃」に対する捜査に乗り出したと発表した。

今後の捜査では、被害者を特定し、食品の腐敗や火災といった被害とサイバー攻撃との関係について調べる方針。

指摘されていた脆弱性

スーパーの冷蔵・冷凍設備はオンラインでアクセスして、保守点検業者が遠隔操作で温度を調整できる仕組みになっている。フランス国家情報システムセキュリティー庁（ANSSI）によると、今回の事件では、少なくとも3社（デンマークのダンフォスと、米ディクセルおよびコープランド）が運営する制御装置に何者かが不正侵入していた。

このうちダンフォスは事件直後、不正アクセスされたシステムの多くはソフトウェアやセキュリティーの更新がストップしていたか、古いソフトウェアが使われていたことを認めた。同社は顧客に対し、サポート対象のシステムは常に最新のファームウェアに更新するよう呼びかけている。

ディクセルの親会社コープランドは、「製造が終了したサポート期限切れ世代の制御装置」に「脆弱（ぜいじゃく）性（弱点）」が見つかったと説明。「被害に遭った顧客と協力してリスク緩和に努めている」とした。

マンロー氏によれば、ダンフォスか冷蔵設備を導入した業者が誤って制御装置をインターネットに接続し、「誰にでも見られる」状態にしていた可能性があるという。

13日、スーパーの外のコンテナに詰められた廃棄済みの製品/Lucien Libert/Reuters

エメ氏によると、不正アクセスされたダンフォスのソフトウェアは事件前からフランス国内で1700回以上もインターネット上に露出していたといい、どこからでもサイバー攻撃を仕掛けられる状態だった。

サイバーセキュリティ―企業のクラロティは8月に公開した報告書の中で、今回の標的とされたダンフォスの制御装置「AK-SM 800A」の脆弱性を指摘し、この問題を悪用すれば、遠隔操作で冷蔵設備の温度設定を変更できてしまう可能性があるとしていた。

英セキュリティー企業のサイバー・ディフェンスによれば、攻撃者は同設備の霜取り機能を悪用して制限を解除。これによって温度の上昇を防ぐ機能が作動しなくなり、11日から12日にかけての約6時間の間に庫内の温度が最高で50度に達した。中には発火した設備もあった。

こうしたスーパーの冷蔵・冷凍設備は、セキュリティー対策のことなどほとんど考えない外部の業者に委託されていたのだろうとマンロー氏は推測している。

消費者は懸念すべきか？

今回の攻撃ではフランスの大手スーパーが被害に遭っており、多額の損害が出ている可能性がある。

被害に遭った店舗はカルフールが最大80店、モノプリは490店舗中の5％、ムスケテールは150店、コオペラティブUは約80店に上る。

エメ氏がロイター通信に語ったところによると、フランス以外にもスペイン、ポルトガル、ポーランド、ドイツ、ベルギーで被害が出ているという。

今回のような攻撃について、一般の消費者はそれほど心配する必要はないとマンロー氏は言う。一方、業務用の冷蔵・冷凍設備はセキュリティーを検証した上で、インターネットから切り離しておく必要があるとした。

「冷蔵庫の制御装置をインターネットからアクセスできる状態にしておく業務上の必要性はない」とマンロー氏は強調し、サプライヤーとの間で管理責任をはっきりさせておく必要があると指摘している。「そうした冷蔵庫の管理を誰が外部に委託したのか。契約上、セキュリティー対策の責任は誰にあるのか。たった一つの死角が、何トンもの食品の廃棄につながりかねない」

記事全体を読む