冷凍ショーケースが50℃に： 冷凍・冷蔵設備が加熱装置に変わった夜

冷凍・冷蔵設備への攻撃により、欧州のスーパーマーケットが食品の廃棄を余儀なくされています。一連の事案が浮き彫りにしたのは、通常の運転機能でさえ被害を引き起こし得るという、不穏な可能性です。問うべきなのは、攻撃者がどう侵入するかだけではありません。侵入された後も、何が攻撃者を止められるのかということです。

最初の兆候は、水たまりでした。
2026年11月2日、月曜日の朝。Mats Olsson氏がスウェーデンのエーランド島、Bödaにある自身のICA店舗に入ると、床に水がたまっていました。同氏はスウェーデンの放送局SVTに、冷凍設備の温度が55℃に達し、冷蔵品と冷凍品の在庫が使い物にならなくなったと語っています。店舗は営業を続けていますが、設備が冷やして守るはずだった商品そのものが、売り場からなくなっているのです。

ストックホルムでも、異変は深夜に始まりました。販売責任者のEngla Ingwall氏によると、勤務先のICA店舗の冷凍設備が攻撃を受け始めたのは午前2時ごろでした。その後、何時間も気づかれないままでした。同氏はReutersに、温度が50℃となり、商品が駄目になったと説明しています。デジタル上の操作が発覚したときには、物理的な変化がすでに被害をもたらしていました。

11月2日のうちに、ベルギー、ルクセンブルク、エストニアからも同様の報告が届きました。オランダではDanfossがNOSに対し、小規模な食料品店や冷凍食品倉庫を含む、少なくとも17の事業者が影響を受けたと認めました。その3週間前には、同様の攻撃がフランスの数百店舗を襲っていました。執筆時点では、同じ攻撃者によるものなのか、公表情報からは明らかになっていません。

しかし、目の前の疑問に答えるために、攻撃者を特定する必要はありません。冷やすために設計された設備が、なぜ熱源に変わるのでしょうか。答えは、通常運転のために備わっている機能にあります。

機械は指示どおりに動く。ただし、間違った相手の指示で。

冷凍・冷蔵設備の蒸発器には、氷が付着することがあります。効率的な熱交換を保つには、定期的にそれを取り除かなければなりません。設計によって、除霜は冷却を一時停止して行う場合もあれば、電気ヒーターや高温の冷媒を使って積極的に熱を加える場合もあります。つまり、冷凍・冷蔵設備には熱を発生させたり、意図的に送り込んだりする能力があるのです。通常の除霜サイクルであれば、それは故障ではありません。

重要なのは、継続時間、動作の順序、そして制限です。ベルギーの事案では、冷凍・冷蔵設備のサービス事業者Sabcobelが、蒸発器を遠隔操作で除霜モードに切り替えられたと報告しています。攻撃者は、機械に新しい機能を作り出す必要はありませんでした。既存の機能を、設備本来の目的に反する形で使ったのです。

冷蔵ショーケースの背後には、多層的な制御の仕組みが存在することも珍しくありません。ローカルのコントローラーがセンサーやバルブと連携し、その上位のシステムマネージャーが情報を集約して遠隔管理を可能にします。Clarotyが調査したDanfoss AK-SM 800Aには、温度の上限・下限、スケジュール、アラーム、ユーザーアカウントなどを管理する組み込みのWebインターフェースがあります。技術者の現地訪問を省ける一方で、必要なアクセス権を持つ者に大きな力を与えます。

こうしたシステムは、OT（Operational Technology）に属します。物理的なプロセスを監視したり、それに働きかけたりする技術です。ここでは、コマンドは単にデータの記録を書き換えるだけではありません。バルブ、モーター、ヒーターが次に何をするかを決めることがあります。

プロセスを悪意を持って変更するために、必ずしもOSを乗っ取る必要はありません。十分な権限を持つ操作用アカウントへのアクセスだけで足りる場合があります。MITREは、産業用制御システム向けATT&CKフレームワークで、この攻撃パターンを「Modify Parameter」（T0836）として説明しています。運転パラメーターを変更すると、ほかの点では正常なコントローラーに、望ましくない一連の動作を実行させられるというものです。ただし、これだけで今回の事案にマルウェアも使われたかどうかが分かるわけではありません。

この違いは重要です。悪意のあるファイルばかり探していると、悪意のある制御操作を見逃す可能性があります。コマンドは形式上有効で、ソフトウェアもそれを正しく処理しているのに、設備は誤った動作をする。そういうことが起こり得ます。緑色の状態表示が示しているのは、実際に監視している対象についての情報だけです。「システムが動いている」ことと「プロセスが制御下にある」ことは同じではありません。

報じられた驚くような温度についても、同じように正確な読み取りが必要です。温度の設定値、蒸発器の温度、空気の温度、商品の温度を混同してはいけません。温度設定を50℃に変えたからといって、食品自体がその温度に達した証拠にはなりません。エストニアで影響を受けた店舗の例が、その違いを示しています。設定は50℃でしたが、報告された実際の温度上昇は小幅でした。そこで差を生んだのは、対応の速さです。

企業のITセキュリティを迂回する、もう一つの入り口

冷凍・冷蔵設備に至る経路が、企業の中央ネットワークを通るとは限りません。ICAによると、影響を受けた店舗の接続は、そのネットワークの外で運用されていました。これは完全なフォレンジック調査結果ではありません。それでも、専門的に保護された企業のIT環境が、各店舗の保守用アクセスを自動的にすべて守るわけではない理由を説明しています。

設備がレジのネットワークから分離されていても、外部への無防備な接続が残っていることがあります。英国のNCSCは、サービス事業者が独自の携帯電話回線など、追加の通信経路を設ける可能性を明確に警告しています。企業が把握している接続だけを調べていると、そうしたアクセス経路を見落としかねません。重要なのは、実際にコントローラーへ通じる接続です。どこまでが一方のチームの担当で、どこからが別のチームの担当かではありません。

ClarotyのTeam82は、調査対象のプラットフォームでインターネットから到達可能なデバイスを2,765台特定する検索を行い、こうした攻撃対象領域（アタックサーフェス）の潜在的な規模を示しました。これは外部公開状況をある時点で捉えたものであり、侵害されたスーパーマーケットの一覧ではありません。しかし、この種の管理インターフェースは常に閉じた企業ネットワークの奥にある、という安心を誘う思い込みを覆すものです。

オランダに関するこれまでの報道は、未知の高度な攻撃というより、保護対策の不備を示唆しています。Danfossの広報担当者はNOSに、被害を受けたシステムでは初期設定のパスワードが使われ、保護されたネットワーク経由で接続されていなかったと説明しました。また、フランスの事案を受け、メーカーはすでにインターネットから直接アクセスできる状態を解消するよう助言していたと述べています。これはメーカー側の説明であり、個々の事案を独立に再構成した結果ではありません。

製品の脆弱性も公表されています。DanfossはAK-SM-8xxAシリーズについて、4.2より前のバージョンに影響する認証の問題としてCVE-2025-41450を挙げています。4.3.1より前のバージョンについては、CVE-2025-41451がOSレベルでのコマンド実行の可能性を、CVE-2025-41452が改ざん可能なWebサーバー設定と、それによるサービス拒否の可能性を説明しています。後者の2件は、認証に成功していることが前提です。

Team82はさらに、通常のログイン手順を迂回できる「Code of the Day」という別のログイン機構も説明しています。根本的な問題は、強固な管理者パスワードがあっても、追加のアクセス機構にあるあらゆる欠陥まで防げるわけではないということです。

検討した公開情報からは、今回の攻撃でこれらの脆弱性のどれが悪用されたのか、あるいはそもそも悪用されたものがあるのかは判断できません。製品ファミリーを混同してはいけません。CERT-FRは、DanfossのAK-SMおよびAK-SCに加え、CopelandとDixellのXWEBシステムを挙げています。したがって、1件のCVEですべての事案を説明することはできません。

売り場からは見えない、もう一つの問題もあります。機器の老朽化です。メーカーによると、旧型のDanfoss AK-SM 800は2021年5月に製品ライフサイクルの終了を迎えました。2025年10月には、該当する旧製品のサポート終了がDanfossから改めて通知されています。このシステムマネージャーは、新しい800Aプラットフォームとは別物です。新しいプラットフォームの更新プログラムを、すべての旧型機器にそのまま適用できるわけではありません。

デジタル制御装置のサポートが終了しても、設備の機械部分は動き続けるかもしれません。「まだ冷える」という言葉が示すのは、その時点の機能です。保守用アクセスの安全性ではありません。

すでにログインした攻撃者を、何が止められるのか

最初の防御線は、管理インターフェースの手前に置くべきです。インターネットへの直接公開を避け、遠隔アクセスを保護し、個別のアカウントを使い、可能な限りフィッシング耐性のある多要素認証を採用する。CERT-FRとNCSCも、この方針を推奨しています。これにより、最初の侵入は難しくなります。しかし、攻撃に対する耐性を備えたアーキテクチャは、さらに次の問いに答えなければなりません。侵害されたアクセス経路を通じて、攻撃者は実際に何ができるのでしょうか。

認証は資格情報を検証します。認可は、そのアカウントに許可される行為を決めます。運転パラメーターの検証は、許可された変更によってプロセスが承認済みの運転条件から外れないようにする必要があります。この3つの機能は、互いの代わりにはなりません。そのためMITREは、ロールに基づく変更権限と、制御ロジック内での入力値の直接検証の両方を推奨しています。

冷凍・冷蔵設備に当てはめると、除霜サイクルの開始を要求できる保守用アカウントだからといって、そのサイクルを制約するすべての制限を変更する権限まで与えるべきではない、ということです。運転状態の閲覧、日常の制御操作、保護設定の変更には、それぞれ異なる権限が必要です。すべてを開ける万能の鍵は、たった一つのIDの侵害を、はるかに大きな問題へ変えてしまいます。

こうした限界値は、抽象的な考え方ではありません。たとえばDanfoss AK-CC 750コントローラーの資料には、温度と時間に基づいて除霜を終了する条件が記載されています。これによって、被害店舗でそのコントローラーが使われていたと確認できるわけではありません。ただし、技術的な点検で何を問うべきかは分かります。どのような制限があり、どこで実際に適用され、誰が変更できるのでしょうか。

各値を個別に見て、許容される数値範囲内かどうかだけ確認すれば十分とは限りません。堅牢な保護戦略には、継続時間、繰り返し、設備の状態がどう影響し合うかの検討も必要です。基準となるのは、メーカーと設備の技術設計が定めた運転限界です。ブラウザー上の入力フォームだけでは、十分なセキュリティ境界にはなりません。検証は、コントローラーが実際に変更を受け入れ、処理する場所で機能しなければなりません。

保護策が、どの程度の侵害に耐える設計なのかも同じくらい重要です。操作用アカウントの悪用と、コントローラー全体の乗っ取りは異なるシナリオです。ローカルのソフトウェア検証は、権限が限定されたアカウントの行動を制約できます。一方、攻撃者がソフトウェアやその保護設定まで支配していれば、その検証自体を変更できるかもしれません。アーキテクチャを評価する際の要点は明確です。保護策は組織図上だけでなく、想定する攻撃シナリオの下でも独立性を保たなければなりません。

さらに根本にあるのは、保護機能が本当に独立しているかという問いです。同じ管理者アクセスでプロセスの変更と限界値の無効化の両方ができるなら、その二つは独立した防御層ではありません。アラームの動作まで変更できれば、同じ管理者アクセスの悪用によって、攻撃の検知を遅らせることも可能です。NISTは、OTシステムにおける制御機能と保護機能の分離不足を明確に警告しています。

冷凍・冷蔵設備については、ここから明確な評価基準が導かれます。追加の温度監視が特に有効なのは、その設定とアラームの伝達経路が、同じ管理システムに完全には依存していない場合です。侵害され得る一つの管理インターフェースを共有するセンサーが二つあっても、それだけで独立した二つの防御層になるわけではありません。また、アラームはプロセスを所定の運転範囲内に保つ仕組みの代わりにはなりません。最初の段階では、誰かに問題を知らせるにすぎないからです。

これは、ネットワークだけを見るアプローチの限界も説明しています。ファイアウォールは接続先やサービスを制限できます。しかし、許可された接続内で行われるすべての制御操作が、それによって適切になるわけではありません。コマンドをより深く検査するには、プロトコルの理解と、その内容へのアクセスが必要です。暗号化は転送中のデータを守りますが、送られる指示が運転上適切であることまで保証しません。

被害を受けた設備にこれらの保護策のどれが存在し、どれが機能しなかったのかは、公開情報では十分に明らかにされていません。それでも、アーキテクチャについて問うべき点は明確です。遠隔アクセスはどの機能を起動でき、その後段のどの保護策が危険な一連の動作を防げるのでしょうか。ネットワークのセグメント化を強めることは、不正な通信経路を遮断するのに役立ちます。危険であっても権限上は許可されている制御操作を防ぐには、適切な権限設定とプロセスの運転範囲を制限する仕組みも必要です。

被害をまだ防げる数分間

エストニアでは、その夜は異なる結末を迎えました。攻撃者が旧型設備の制御用コンピューターにアクセスし、Selverの店舗が影響を受けましたが、サービス事業者は約10分以内に対応したと報告しています。その説明によると、実際の温度上昇は2～3℃にとどまり、食品に被害はありませんでした。Selverによれば、その店舗は新しいシステムがまだ導入されていなかった最後の拠点でした。

だからといって、10分があらゆる設備に共通する安全上の余裕というわけではありません。この事例は、攻撃者がアクセスした後の時間が、どれほど重要になり得るかを示しています。計画には、逸脱の検知、評価、判断、実効性のある介入という対応全体を織り込む必要があります。これらの手順は、個々のプロセスで対応可能な時間内に完了しなければなりません。即座にアラームが出ても、対応する責任者や行動できる人がいなければ、ほとんど役に立ちません。

可能な限り、商品の損失が目に見えるようになる前から検知すべきです。夜間の除霜サイクルは、それだけでは不審ではありません。変更元が想定外である、承認済みの運転範囲を外れている、確認済みの保守作業指示と一致しない、といった場合、その変更は異常を示すより有力な手掛かりになります。MITREは、このような観測内容を、その後のプロセスデータと関連付けることを推奨しています。重要なのは新しい値だけではなく、その後に設備が実際にどう動くかです。

冷凍・冷蔵設備で調べるべき兆候としては、通常とは異なる除霜時間、変更されたアラームしきい値、複数機器で同時に生じる逸脱などが考えられます。これは検知方法の候補であって、今回の一連の攻撃を再構成した説明ではありません。運用上の文脈は、誤警報を防ぐうえでも役立ちます。承認済みの試験と、説明のつかない変更は別に評価すべきです。ただし、予定された保守時間帯だからという理由で、その間のすべての活動を無検証で無視してはいけません。

ログには、その照合ができることが求められます。有用な記録は、使われたアカウント、対象機器、変更内容、変更時刻を特定できるものです。情報が得られる場合は、変更前の値や関連する保守作業指示も、変更とひも付けられるべきです。これは、NCSCが強調する原則を反映しています。ログ記録は具体的な検知目標を支えるためのものであり、単にデータを蓄積するためのものではありません。被害が出てから初めて調べるログは、被害を防ぐための早期警告にはならないのです。

そのうえで、誰かが動作の連鎖を止められなければなりません。NCSCは、試験済みの隔離計画を推奨しています。どの接続を遮断できるのか。どの機能をローカルで継続させる必要があるのか。遠隔保守が使えなくなったとき、サービス事業者はどう引き継ぐのか。正しい対応は、必ずしも設備全体の電源を切ることではありません。人の安全を守り、プロセスをあらかじめ定めた制御可能な状態へ移行させる必要があります。

隔離後に何を監視できるのかも、計画で明確にすべきです。遠隔保守を切断した際に、唯一のアラーム経路まで誤って遮断すると、待機中の対応担当者は必要なフィードバックそのものを失います。試験すべきなのは、アクセスを止められるかどうかだけではありません。その後も責任者が、自分たちの対策が効いているかを確認できるかどうかです。

見落とされやすい違いもあります。ネットワークから隔離しても、すでに変更された設定が自動的に元へ戻るわけではありません。追加のアクセスを防げても、設備は改変された設定のまま動き続ける可能性があります。そのため専門家は、アクセス経路だけでなく、実際の運転状態と設定も確認しなければなりません。「もう到達できない」ことも「再び動いた」ことも、それだけでは安全宣言の根拠になりません。

追加の危険を生じさせずに可能であれば、リセットの前に関連するログや設定を保全すべきです。ただし、証拠保全のために必要な保護措置を遅らせてはいけません。冷却が回復しただけでは、セキュリティインシデントは解決しません。CERT-FRは、脆弱な旧型機器を単にリセットし、無防備なまま再びインターネットへ接続することを明確に警告しています。それでは元の弱点が残り得ます。

したがって、復旧には再起動の成功以上のものが必要です。設定が承認済みの基準構成と一致し、物理プロセスが再び所定の限界内で動作していなければなりません。新しいファームウェアを入れただけでは、プロセスがその限界内に戻ったことの確認にはなりません。インシデントを終結させるには、技術面と運用面の両方で検証が必要です。

つまり、準備は技術だけの問題ではありません。事案が起きる前に、運用者と保守事業者は、夜間に誰がアクセスを遮断できるのか、誰が現地で設備を引き受けるのか、更新や交換の責任を誰が持つのかを把握しておく必要があります。保守を外部委託しても、それらの責任は消えません。誰が何をするかを明確に合意することが、いっそう重要になります。

次に冷蔵ショーケースの前に立ったとき、まず目に入るのは食品でしょう。その背後には、センサー、ソフトウェア、権限、判断の連鎖があります。セキュリティ上の問いは、機器がどのようなデータを保存するかだけではありません。周囲の環境に対して何を変えることが許されているのか。そして、誰が手遅れになる前に介入し、誤った動作を防げるのかという問いでもあります。

エーランド島では、水たまりによって事案が目に見える形になりました。エストニアでは、運営側によると食品に被害はありませんでした。この二つの結末の間に、セキュリティの本当の課題があります。被害によって攻撃が明らかになる前に検知し、攻撃者にアクセスされてもなお、有効な保護策を残しておくことです。

バックアップは設定を復元できます。しかし、十分に冷やせなかった時間を取り戻すことはできません。

サイバー攻撃は、必ずしも機械を破壊する必要はありません。誤った動作をさせるだけで十分なこともあるのです。