欧州10か国以上のスーパーなどで冷蔵設備に障害、サイバー攻撃の疑い──温度を50℃に書き換えられた店も。3週間前のフランスに続く波、スペインでは店の被害の確認なし

11月1日（日）の夜から2日（月）にかけて、欧州各地のスーパーや食料品店などで、冷蔵・冷凍設備の温度が上がる障害が相次いだ。3日にはドイツとルーマニアでも被害が伝えられ、AFP通信は「10か国以上」と報じている。ベルギーのカルフールやスウェーデンのコープ、エストニアのセルベルなどはサイバー攻撃やサイバー事案だと説明し、ベルギーでは連邦検察が捜査を始めた。一方、フィンランドのケスコのように原因を調べている会社もあり、全ての国で攻撃が確認されたわけではない。スウェーデンとエストニアでは温度の設定が50℃に書き換えられた店があり、ストックホルムでは冷凍庫が実際に50℃になったと話す店の責任者もいた。関連する機器として名前が挙がっているのは、冷蔵設備を遠隔で管理するデンマークのダンフォス社などの制御機器で、同社は自社の製品が関係したと認めた。フランスでは約3週間前の10月11日夜から12日にかけて似た攻撃があり、約700店が影響を受けた。公開された犯行声明はなく、誰が攻撃したかは分かっていない。スペインでは3日夕までに、店の被害を確認した報道は見当たらない。10月には、スペインも影響を受けたとするセキュリティ企業の分析家の話をロイター通信が伝えたが、店や設備は示されていない。スペインの国立サイバーセキュリティ研究所（INCIBE）の相談窓口は、侵入の経路もスペインでの影響の範囲もまだ判断できないと答えている。

どの国で何が起きたか

欧州の報道機関ユーロニュースは3日午前、ベルギー、エストニア、フィンランド、アイルランド、イタリア、ルクセンブルク、オランダ、ポルトガル、スウェーデンの9か国を挙げた。その後、AFP通信がドイツとルーマニアを加え、「10か国以上」と伝えた。いずれも冷却の障害が報じられた国で、攻撃が確定した国の数ではない。

店の数は各社や各国の発表で、欧州全体の合計は公式には示されていない。

「50℃」は設定か、実際の温度か

日本では「冷蔵庫の温度が50℃に」と報じられた。根拠をたどると、温度の設定が50℃に書き換えられた例と、実際に50℃まで上がったという店側の証言の両方がある。全ての被害店で庫内が50℃になったわけではない。

• スウェーデン南部シェーボのICAの店は、SNSで、冷蔵・冷凍設備がハッキングされて50℃に設定されたと説明した（AP通信）。
• ストックホルムのICAの店の責任者は公共放送SVTに、出勤したときに冷凍庫はプラス38℃で、その後50℃になったと話した。
• エストニアのセルベルの店では、設定が50℃に変えられたが、実際の上昇は2〜3℃ほどだったと設備会社が説明した（公共放送ERR）。

10月のフランスでも、冷蔵室が50℃に達してスプリンクラーが作動したと話す店主がいた（ル・モンド紙）。

冷蔵設備の遠隔制御の機器

スーパーの冷蔵・冷凍設備の多くは、温度を遠隔で監視・調整する制御機器につながっている。この機器がネットから直接見える状態だと、外から設定を書き換えられるおそれがある。11月の全ての事案で同じ機器や同じ侵入の経路が使われたかは、分かっていない。

フランスのサイバー当局CERT-FRは10月12日に注意喚起を出し、13日に対象を追加した。複数の侵害を把握した機器として、ダンフォスのAK-SMとAK-SCのシリーズ、コープランドとディクセルの「XWEB」を挙げている。ダンフォスだけの問題ではない。CERT-FRは、管理画面をネットに公開しないこと、安全なVPNなど保護された回線を使うこと、更新と初期パスワードの変更を勧めた。メーカーの支援が終わった機器は、初期化しただけでは再び侵入されるおそれがあるとも警告している。

ダンフォスは10月、フランスの件で影響を受けた設備の多くは、ソフトウェアやセキュリティの更新を受けられなくなった古い製品だったとAP通信に説明した。対応する機器のファームウェアを更新し、ファイアウォールの内側で使うよう前から顧客に勧めていたという。11月2日には、オランダで攻撃された設備は保護されたネットワークに置かれておらず、初期設定のパスワードのままだったと、同社の広報がオランダの公共放送NOSに述べた。同社は10月13日、顧客にネットから切り離し、保護された回線でのみつなぎ直すよう助言していたという。

3週間前のフランスでは約700店

フランスでは10月11日夜から12日未明にかけて、多くのスーパーで冷蔵設備の温度が上がった。レスキュール経済相は13日、議会で、国内の約1万店のうち約700店が影響を受けたと説明した。インテルマルシェとネットを運営するムスクテール・グループは300店、クーペラティブUは80店と説明した。ほかにカルフールやモノプリ、ルクレールの店も被害を受けたと報じられている。ムスクテール・グループの会長は、フランス全体の損害が1日で数千万ユーロに達する可能性があると述べた。パリ検察のサイバー犯罪の担当部署が捜査している。

スペインでは店の被害の確認なし

本紙が3日18時ごろまでに調べた範囲では、スペインの店で同じ種類の被害を確認した報道は見当たらない。エル・インデペンディエンテ紙は3日（12時15分更新）、INCIBEが国内で同じ種類の攻撃を検知しておらず、欧州の各国の機関と連絡を取っていると伝えた。インフォバエによると、INCIBEの相談窓口は、出来事が最近で追跡できる手がかりも足りないため、侵入の経路もスペインでの影響の範囲もまだ判断できないと答えた。国内で被害が確認されたという意味ではない。

ただし10月、フランスの件を伝えたロイター通信は、フランスのセキュリティ企業セコイアの分析家フェリックス・エメ氏が、スペインやポルトガル、ポーランド、ドイツ、ベルギーも影響を受けたと述べたと報じた。どの店や設備が影響を受けたのかは示されておらず、スペインの当局や会社がそれを確認したという報道は見当たらない。

エル・インデペンディエンテ紙によると、INCIBEは10月のフランスの件を分析し、原因を産業用の制御技術の設定の不備だとしている。多くの設備が工場出荷時のパスワードのままだったり、メーカーの支援が終わった古いファームウェアを使ったりしていたため、攻撃は難しくなかったという。INCIBEは、外部との接続が欠かせない場合を除いて制御機器をネットから切り離すこと、空調・冷蔵の設備を会社の一般のネットワークや店のWi-Fiから分けること、工場出荷時のパスワードを変えることを勧めている。

ネットワークとセキュリティの分析家マルセリーノ・マドリガル氏は、スペインでネットから見える冷蔵・空調の機器が300台を超えるとインフォバエに語り、「もちろん、ここでも起こりうる」と述べた。ただし同氏は、機器に接続を試してはいない。「見えることは、弱いことと同じではない」とも話しており、300台に弱点があると確かめたわけではない。

EFE通信によると、食品流通業界の関係者は、スペインでは冷蔵設備の遠隔管理を外部の集中システムに任せることは「一般的ではない」と説明した。スペインのスーパー各社は、設備の安全対策に最大限の力を注いでいるという。

誰が、何のために

3日夕までに、公開された犯行声明は確認されておらず、攻撃した者も目的も分かっていない。欧州委員会のレニエ報道官は3日の記者会見で、一連の攻撃は「単独の出来事ではない」と述べ、欧州警察機関（ユーロポール）や欧州連合サイバーセキュリティ庁（ENISA）、被害を受けた国などと2回の調整会議を開いたと明らかにした。ロシアが関わっている可能性を問われると、「この演壇から、こうしたサイバー事案の責任の所在を言う立場にはない」と答え、捜査は各国の当局が進めていると述べた。ベルギーのサイバー当局はロイター通信に、攻撃者は分かっておらず、今後も特定できないかもしれないと話した。10月のフランスの件と同じ者の犯行かどうかも、確定していない。欧州委員会で農業を担当するハンセン委員は、「食料の供給網を混乱させ、消費者の信頼を損なおうとする意図的な試みだ」と非難した。