10月12日、Stephen Warwickが「'Unprecedented' Cyberattack cripples supermarket fridges across Europe as hackers activate automatic defrosting」と題した記事を公開した。ヨーロッパ各地のスーパーマーケットを標的としたサイバー攻撃が冷蔵設備の制御システムを乗っ取り、食品の大量廃棄につながる深刻な被害をもたらしたという内容だ。

サイバー攻撃というと、データ流出やシステム停止が典型的な被害として思い浮かぶ。しかし今回の攻撃は異質だ。攻撃者は冷蔵庫を「止める」のではなく、冷蔵庫を「凶器」として使った。制御システムに侵入し、自動デフロスト（霜取り）機能を連続稼働モードに切り替えて庫内温度を大幅に上昇させることで、食品が次々と熱にさらされた。物理インフラそのものを武器に転用するこの手口の具体性が、セキュリティ関係者の間で大きな衝撃を与えている。

冷蔵庫の「デフロスト機能」を悪用するという攻撃手法

通常、デフロスト（霜取り）機能は1日あたり2時間程度しか動作しない。これを無制限に稼働させることで、冷蔵・冷凍庫から「熱波」が漏れ出したと現地の関係者は証言している。単にシステムをシャットダウンするのではなく、機器本来の機能を悪用する点がこの攻撃の特徴だ。

標的となったのはデンマークの産業機器メーカーDanfoss製の冷蔵制御システムだ。Danfoss製システムはヨーロッパの小売業者に広く導入されており、遠隔監視・管理のためにネットワーク接続されている。この「接続性」が今回の攻撃経路となった可能性が高い。ランサムウェアのように身代金を要求する動機によるものか、インフラ破壊を目的としたものかは現時点で明らかにされていない。

フランスの被害：3チェーン、損失は数百万ユーロ規模か

フランスでは、Danfoss製の冷蔵制御システムを導入しているスーパーマーケットチェーンが集中的に標的となった。被害を受けたのはIntermarché、Leclerc、Coopérative Uの3チェーンだ。

Coopérative Uの代表Dominique Schelcher氏は10月12日朝にX（旧Twitter）で被害を公式確認し、次のように述べた。

「昨夜から、当ネットワークの複数店舗の冷蔵設備がサイバー攻撃を受けている。チームを総動員して復旧に当たっている。生鮮食品の保管と食料供給に不可欠な設備への攻撃は極めて深刻であり、前例がない。断じて許容できない。」

被害額の早期試算では、すでに30万ユーロ（約5,000万円）に近づいており、全国規模では数百万ユーロに達する可能性があるという。

オランダの被害：配送停止と電子棚札の価格改ざん

オランダではNOSの報道によると、Albert Heijn、Etos、Gall & Gall（いずれも国際小売グループAhold Delhaizeの傘下チェーン）が日曜午後にサイバーセキュリティインシデントによる障害を受けた。ベルギーのDelhaizeも同様の障害を報告している。

こちらはフランスとは異なり、冷蔵設備ではなくITシステムへの侵害が主体だ。ウェブサイトのダウンによる配送停止と、電子棚札（ESL: Electronic Shelf Label）の改ざんによる店内価格表示の混乱が主な被害として報告されている。ESLは店舗内のネットワークで一括管理される電子表示デバイスであり、ITシステムへの不正アクセスによって価格情報の書き換えが可能な構造を持つ。

Albert Heijnは「ITシステムを保護するため即座に対策を講じた。予防措置として一部システムを一時停止している」と声明を出した。アムステルダムの店舗では、価格トラブルや会員プログラムの停止を顧客に告知する掲示が出ているという。

フランスとオランダの攻撃は同一犯か

現時点では、フランスの冷蔵設備攻撃とオランダのウェブ・価格システム攻撃が同一の攻撃者によるものかどうかは確認されていない。フランスは物理インフラ（OT）への直接攻撃、オランダはITシステムへの侵害と、手口の性質が明確に異なるため、別の攻撃グループが同時期に動いた可能性も排除できない。捜査機関および各社は被害の全容を調査中だ。

OT（産業用制御）セキュリティの問題として見ると

今回の攻撃で改めて浮き彫りになったのが、OT（Operational Technology）セキュリティの脆弱性だ。冷蔵制御システムのような産業用制御装置はリアルタイムで物理プロセスを制御する性質上、ソフトウェアアップデートが難しく、古いプロトコルをそのまま使い続けているケースが多い。さらにDanfoss製のシステムが複数チェーンで共通して使われていたことが、被害の広域化を招いた一因として考えられる。

OTセキュリティの脅威は食品流通に限らず、水道・電力・交通インフラにも及んでいる。米国土安全保障省のサイバーセキュリティ機関CISAはICS（産業用制御システム）向けのセキュリティガイダンスを継続的に公開しており、OT環境のセキュリティ強化が急務であることを繰り返し警告してきた。今回のヨーロッパでの攻撃は、その警告が現実のものになったケースとして記録される。

詳細は'Unprecedented' Cyberattack cripples supermarket fridges across Europe as hackers activate automatic defrostingを参照していただきたい。