仏スーパー数百店舗で冷蔵設備を乗っ取り、庫内50度に　食品を大量廃棄

#AIサイバー攻撃 #AIセキュリティ

公開日

2026.10.13

フランスで10月11日夜から12日朝にかけ、大手スーパー数百店舗の冷蔵・冷凍設備が外部から遠隔操作され、庫内温度が最高50度まで上がった。各社は生鮮品や冷凍食品を廃棄し、一部の店舗では火災も起きた。パリ検察庁が捜査を始め、仏政府のサイバーセキュリティ当局はデンマークの冷凍・空調機器大手Danfoss製ソフトウエアの脆弱性を特定した。

「1日で数千万ユーロ」の損失

Intermarchéを運営する仏Les Mousquetairesによると、傘下の約150店で冷蔵庫が夜間6時間にわたり50度に加熱された。AFP通信には、ディスカウント業態のNettoを含め少なくとも300店が標的になったと答えている。仏スーパー大手のCoopérative Uでも100店超、E.Leclercでも複数の店舗が被害を受けた。ロイター通信によると、仏小売り大手Carrefourは約6000店のうち80店、都市型スーパーのMonoprixは約490店の5%に影響が出た。

被害店舗は冷蔵・冷凍の商品をすべて捨てるしかなかった。パリ中心部のIntermarchéでは、店員が解凍された冷凍食品を台車ごと大型のごみコンテナに投げ入れ、割れた容器から溶けたアイスクリームが路上に流れ出ていたという。

IntermarchéのThierry Cotillard最高経営責任者(CEO)は仏ニュース専門局BFM TVで、損失は「たった1日で全国で数千万ユーロ(数十億円)」にのぼるとの見通しを示した。Coopérative UのDominique Schelcher CEOはX(旧Twitter)に「生鮮品の保存と国民への食料供給に欠かせない設備を狙うのは極めて重大で、前例がない」と投稿した。

夜間の「霜取り運転」を悪用

スーパーの冷蔵売り場は、店内の冷蔵庫や冷凍庫をまとめて管理する制御盤で動いている。保守業者が店に出向かずに設定を変えられるよう、制御盤はインターネット経由で操作できるのが一般的だ。

BFM TVによると、攻撃者は多数の店舗で冷凍設備の霜取り運転を遠隔から強制的に起動させた。冷凍ケースは霜が付かないよう夜間に霜取り運転をし、その間は庫内温度が少し上がる。攻撃者は霜取り中の加熱をそのまま続けさせたという。

仏セキュリティコンサルティング会社AlmondのAntoine Hautin氏はAFP通信に対し、冷蔵設備は長くインターネットから切り離されていたが、いまはセンサーや遠隔監視システムを通じてつながっていると指摘した。数百台を同時に操ったとみられる点から、攻撃者には相応の技術力があるとの見方を示した。

Danfoss「古いファームウエアだった」

Sébastien Lecornu首相の周辺によると、首相の指示で調査に入った仏国家情報システムセキュリティ庁(ANSSI)は、デンマーク企業のソフトウエアに脆弱性を見つけ、同社に連絡した。他国も被害を受けた可能性があるとして欧州各国の当局と連携し、ほかに被害を受けた仏企業がないかも調べている。

Danfossはロイター通信に対し、フランスで一部の冷凍設備管理システムに問題が起きたことは把握していると説明した。対象の機器は古いファームウエア(機器に組み込まれた制御用ソフト)のまま動いていたとし、最新版への更新や旧型からの切り替えを以前から顧客に勧めてきたと強調した。AFP通信によると、被害を受けた機器の多くはソフトウエアやセキュリティの更新がすでに終わった旧型製品で、店舗の冷凍設備を一括管理する「AK-SM800」シリーズなどが含まれる。仏小売業界団体の商業流通連盟(FCD)はDanfossに対し、事件について「完全な透明性」を求めた。

AK-SM800シリーズの管理装置をめぐっては、米産業セキュリティ企業Clarotyの研究チームが8月9日、重大な脆弱性を公表していた。保守用とみられる隠しログイン機能があり、日付だけをもとにその日のパスワードが作られるため、計算方法がわかれば誰でも管理者として入り込める状態だった。同社の調べでは、インターネットから直接アクセスできる装置が2765台見つかった。Danfossは修正版のファームウエアを公開済みだ。今回の攻撃でこの脆弱性が使われたかどうかはわかっていない。