概要
フランスの大手スーパーマーケット7チェーン——Intermarché、Netto、Coopérative U、Carrefour Market、Monoprix、Leclerc、Super U——の250〜350店舗で、冷蔵庫の制御システムがサイバー攻撃を受け、庫内温度が上昇して大量の食品を廃棄せざるを得なくなる事態が発生した。攻撃は日曜夜間に行われ、月曜朝までに複数チェーンが被害を確認した。小売業の現場で稼働するOT(運用技術)システムが、インターネット経由で直接狙われた事例として注目されている。
攻撃の手法と悪用された脆弱性
攻撃者が標的にしたのは、Danfoss製の冷蔵庫制御システム「AK-SM 800A」シリーズである。古いバージョンの制御ソフトウェアを稼働させていた機器に不正アクセスし、庫内の霜を取り除くための「自動デフロスト機能」を悪用して温度を意図的に上昇させた。認証バイパスの脆弱性であるCVE-2025-41450と、コマンド注入の欠陥であるCVE-2025-41451が悪用された可能性が指摘されている。調査の過程では、インターネットに接続された状態のDanfossシステムが世界で2,752台確認され、そのうちフランス国内だけで1,590台が外部からアクセス可能な状態で露出していたことも判明した。
被害の実態と関係者の反応
各チェーンは被害発覚後、冷蔵ユニットから製品を迅速に取り除く対応を取り、冷蔵設備の専門家と連携して復旧を進めている。廃棄された食品の具体的な量や被害金額は明らかになっていないものの、「大規模な食品廃棄」と「多大な経済的損失」が発生したと報じられている。Coopérative Uの会長は、生鮮食品の保存と食料供給に不可欠な設備を狙った今回の攻撃について「極めて深刻かつ前例のない、容認できない」事態だと表現し、EUの農業・食料担当委員も「食料の武器化が現実のものとなった」として非難した。事態を受けてパリ検察は捜査を開始している。
小売業OTセキュリティの課題と今後
この事件が浮き彫りにしたのは、スーパーマーケットという一般消費者に身近な業態においても、冷蔵制御のようなOTシステムがインターネットに露出し、サイバー攻撃の標的になり得るという現実である。背景には、コスト削減を優先してセキュリティ対策が後回しにされてきた構造的な問題があると指摘されている。食品の安定供給という社会インフラに直結する分野でのOT機器の管理体制や、パッチ適用・ネットワーク分離といった基本的な対策の徹底が、今後の再発防止に向けた焦点になるとみられる。