2026年11月2日未明、ベルギー、スウェーデン、オランダ、アイルランドなどのスーパーマーケットや精肉店で、冷凍冷蔵設備の温度が遠隔操作によって引き上げられる被害が発生した。冷凍冷蔵機器メーカーのDanfossによると、10月11日夜にフランスで発生した攻撃と同じ手口だという。フランスのコンピューター緊急対応チームCERT-FRは10月12日、ベルギーのサイバーセキュリティセンター（CCB）も翌13日に、対象機器をインターネットから切り離すよう警告していた。しかし、Danfossによれば、オランダで攻撃された機器は保護されたネットワークに接続されておらず、初期パスワードも変更されていなかった。一方、最初の攻撃で被害が確認された旧型機の中には、すでにサポートが終了し、セキュリティ更新を受けられない製品も含まれている。今回の攻撃は、推奨されたセキュリティ対策が実施されていない機器と、更新による対処ができない旧型機という、店舗の設備管理が抱える2つの問題を浮き彫りにした。
11月2日未明、欧州各国の店舗で冷凍設備が遠隔操作される
ベルギーのCarrefourは、国内700店舗のうち15店舗が被害を受けたと明らかにした。同国のColruytグループも5店舗で被害を確認している。スウェーデンではCoopが800店舗のうち7店舗で冷凍設備への不正操作があったと説明し、Danfossが設備の納入業者の一つであることも明かした。アイルランドの卸売企業Musgraveは、傘下のスーパーマーケットSuperValuの13店舗に影響が出たと発表した。また、IKEAはベルギーの1店舗で被害を確認しており、ほかの店舗にも影響が及んだ可能性を否定していない。
これらは各社が自社の被害状況として公表した数字であり、欧州全体の被害件数を示すものではない。店舗の現場からも具体的な証言が出ている。ストックホルムのICA加盟店の責任者は、攻撃が午前2時ごろに発生したものの、異常に気づいたのは数時間後だったと説明した。ICAによると、影響を受けたのは外部の設備業者を利用し、ICAの中央ネットワークとは別の経路で接続されていた限られた店舗だったという。
オランダでは、Danfossの広報担当者が、前夜の攻撃で少なくとも17社の冷凍冷蔵システムが不正操作され、温度設定を変更されたと明らかにした。主な被害先は精肉店や地域の小規模商店などで、同社が把握する範囲では大手スーパーマーケットチェーンは含まれていない。被害を受けた冷凍食品の保管施設では、通常マイナス20℃に維持する設備の温度がマイナス10℃まで上昇したが、速やかに対処できたという。また、エストニアの設備請負業者は、攻撃者が旧型のDanfossシステムにアクセスしたと説明している。なかでもオランダの被害については、Danfossが攻撃を受けた機器のネットワーク構成や認証設定にまで言及している。
CERT-FRの警告から21日後に発生した第2波
最初の大規模な攻撃は10月11日夜、フランスで発生した。スーパーマーケットチェーンIntermarchéを傘下に持つLes Mousquetairesによると、冷凍冷蔵設備が不正に除霜運転へ切り替えられ、最大50℃まで加熱されたという。パリ検察庁は約10件の告訴を受け付けており、被害者の数を約700と推計している。現時点で犯行声明は出されていない。
除霜運転とは、冷凍冷蔵設備の蒸発器に付着した霜を溶かすための運転モードだ。蒸発器は庫内の熱を吸収する熱交換器であり、通常の冷却運転では低温に保たれる。しかし、攻撃者が遠隔操作で除霜運転に切り替え、その状態を続けさせれば、庫内の温度が上昇する可能性がある。つまり、設備を物理的に破壊したり、単純に停止させたりするのではなく、本来備わっている運転機能を悪用して冷却能力を失わせる手口だ。CERT-FRが設備の設定全般、特に除霜運転の時間帯を確認するよう求めているのも、こうした攻撃を念頭に置いたものと考えられる。
CERT-FRは10月12日、警告「CERTFR-2026-ALE-012」を公開した。翌13日には標的となった機器の情報を追加し、16日に推奨対策を更新している。最新版では、DanfossのAK-SCシリーズとAK-SMシリーズ、Copelandのxweb、Dixellのxwebを対象機器として挙げた。最優先の対策は、管理用インターフェースをインターネットに直接公開しないことであり、遠隔接続が必要な場合はVPN（仮想私設網）や保護されたネットワークを経由するよう求めている。Danfoss製品については、ファームウェアの更新、セキュリティレベルの「Strict」への変更、初期パスワードの変更も推奨した。
CERT-FRは同じ警告で、攻撃キャンペーンが継続している可能性が高いと指摘している。特に、サポートが終了してセキュリティ修正を受けられない機器をインターネットに公開し続ければ、侵害される可能性が非常に高いと警告した。ベルギーのCCBも10月13日に同様の勧告を出し、攻撃対象となった管理画面は公開インターネットからアクセスできる状態だったとみられると説明している。Danfossの広報担当者によれば、同社も10月13日にオランダの顧客に対して、システムをインターネットから切り離し、保護されたネットワーク経由でのみ再接続するよう勧めていたという。
| 日付 | 出来事 |
|---|---|
| 2025年8月1日 | Danfossがセキュリティ勧告「DSA-2025-08-01」を公開し、AK-SM 8xxA向けの修正版4.3.1を提供 |
| 2026年8月 | Claroty Team82がAK-SM 800Aの脆弱性に関する調査結果を公表 |
| 2026年10月11日夜 | フランスで第1波の攻撃が発生 |
| 10月12日 | CERT-FRが警告の初版を公開 |
| 10月13日 | CERT-FRが対象機器を追加。CCBが勧告を公開し、Danfossもオランダの顧客にネットワークからの切断を推奨したと説明 |
| 10月16日 | CERT-FRが推奨対策を更新 |
| 11月2日未明 | 欧州各国で第2波の攻撃が発生 |
CERT-FRが最初の警告を出した10月12日から第2波が発生した11月2日までは21日間、Danfossがオランダの顧客に切断を勧めたとする10月13日からは20日間が経過している。今回の攻撃は、何の警告もないまま発生したものではない。攻撃手法が知られ、当局とメーカーが具体的な対策を示してから約3週間後に、同様の被害が繰り返されたことになる。さらに、AK-SM 800Aの既知の脆弱性に対する修正版ファームウェアは、最初の攻撃から1年以上前に公開されていた。
オランダの17社以上が被害、Danfossは初期パスワードの放置を指摘
Danfossの広報担当者は11月2日、オランダで攻撃された冷凍冷蔵システムが保護されたネットワークに接続されておらず、初期パスワードも変更されていなかったと説明した。同社は10月13日の時点でインターネットからの切断を推奨しており、対策を実施しなかった一部の店舗が被害を受けたとの見方を示している。適切な対策を講じていれば攻撃は防げたというのがDanfossの説明だが、第三者による独立した検証結果ではない。また、この説明はオランダの事例に関するものであり、ベルギーやスウェーデンなど、ほかの国で被害を受けた機器の設定状況は明らかになっていない。実際にどの脆弱性や認証情報が悪用されたのかという具体的な侵入経路についても、第1波、第2波ともに当局やメーカーからの発表はない。
産業用システムのセキュリティを調査するClarotyは11月2日、自社ブログを更新し、Danfossによるオランダの被害状況の説明を追加した。同社はフランスで発生した最初の攻撃についても、侵入経路の詳細は判明していないとしている。一方、スウェーデンのICAは、被害を受けた店舗が外部の設備業者を利用し、ICAの中央ネットワークとは別の接続経路を使っていたと説明している。こうした報告からは、各店舗の冷凍冷蔵設備がどのようなネットワーク環境で管理されていたかが、被害状況を理解するうえで重要な要素になっていることがうかがえる。
ベルギーでは、Delhaizeの冷凍設備を保守するSabcobelのCEO、Stephan Moelans氏が、今回の攻撃はフランスとまったく同じ手口だったと説明した。具体的には、攻撃者が蒸発器を除霜モードに切り替えたという。同社が管理する数百台の設備のうち、被害を受けたのは約20台だったとしている。CCBの広報担当者Katrien Eggers氏は、攻撃者の正体は判明しておらず、今後も特定できない可能性があると述べた。ベルギー連邦検察は捜査を開始しているが、犯行声明は確認されていない。
公表された情報からは、少なくともオランダの一部の被害機器について、当局やメーカーが勧めていた基本的なセキュリティ対策が実施されていなかった可能性が浮かび上がる。ただし、すべての被害を設定不備だけで説明することはできない。特に問題となるのが、Danfossがフランスでの第1波の被害機器として挙げた旧型製品だ。これらの機器には、すでにサポートが終了し、ファームウェアの更新によって既知の脆弱性に対処することができないものが含まれている。
更新できないAK-SM800とAK-SC355、修正版の対象は現行機のみ
Danfossは10月12日、フランスでの攻撃に関する声明を発表し、被害を受けた機器には旧型製品と、古いファームウェアのまま稼働していた現行製品が含まれると説明した。旧型機として名前が挙がったのは「AK-SM800」と「AK-SC355」で、いずれもソフトウェア更新やセキュリティ更新が提供されていない。同社が2025年10月に発行したニュースレター「Tech Insider」によると、AK-SM800は2021年5月にサポート終了が宣言され、AK-SC355は2016年に販売を終了している。一方、現行製品の「AK-SM800A」については、古いファームウェアを使用していた機器が被害を受けたという。
この違いは、既知の脆弱性への対処方法に直結する。Danfossが2025年8月1日に公開したセキュリティ勧告「DSA-2025-08-01」の対象は、AK-SM 8xxAシリーズであり、旧型のAK-SM800やAK-SC355は含まれていない。旧型機には適用できる修正版が存在しないため、現行機と同じようにファームウェアを更新して対処することはできない。なお、公表されているCVE（共通脆弱性識別子）のいずれかが今回の攻撃で実際に悪用されたとする情報はなく、当局とメーカーも侵入経路を明らかにしていない。
DSA-2025-08-01では、バージョン4.3.1より前のAK-SM 8xxAシリーズに存在する2件の脆弱性が報告されている。「CVE-2025-41451」は、認証後にコマンドインジェクションを通じて遠隔からコードを実行できる問題だ。「CVE-2025-41452」は、認証後にWebサーバーの設定を書き換え、サービス停止を引き起こす可能性がある脆弱性である。Danfossは対策としてファームウェア4.3.1への更新を求めており、勧告の回避策欄には「N/A（該当なし）」と記載している。これらの脆弱性を報告したのは、Clarotyの研究部門Team82だ。
Team82は2026年8月、AK-SM 800Aの脆弱性に関する詳しい調査結果を公表した。この調査では、日替わりコードを使用することで通常の認証を回避できる問題「CVE-2025-41450」も報告されている。また、インターネットに公開されている機器を調べる検索サービスCensysを使った調査では、公開インターネットからアクセス可能なAK-SM 800Aが2,765台確認されたという。Clarotyによれば、これらの問題はファームウェアR4.3.1で修正されている。ただし、同社は10月12日のブログで、確認された2,765台のうち何台に修正版が適用されているかは分からないと説明している。
| 機器 | サポート状況・被害状況 | 公表されている修正 | 根拠となる資料 |
|---|---|---|---|
| AK-SM800 | 2021年5月にサポート終了を宣言。セキュリティ更新なし | なし | Danfossの声明、Tech Insider |
| AK-SC355 | 2016年に販売終了。セキュリティ更新なし | なし | Danfossの声明、Tech Insider |
| AK-SM800A | 現行製品。古いファームウェアを使っていた機器が被害を受けたとDanfossが説明 | 4.3.1（2025年8月）。CVE-2025-41451、CVE-2025-41452を修正。ClarotyによればCVE-2025-41450もR4.3.1で修正済み | DSA-2025-08-01、Claroty Team82 |
| Copeland xweb | 脆弱性が確認された旧世代のXWEB EVOはサービス終了。XWEB PROは現行製品 | XWEB EVOへのセキュリティ修正は提供されない | Copelandの製品告知 |
| Dixell xweb | CERT-FRが対象機器に指定。サポート状況は未確認 | 確認できず | CERT-FRの警告 |
同じDanfoss製の冷凍冷蔵設備でも、機種によって取れる対策は大きく異なる。AK-SM800Aは、ファームウェアを4.3.1に更新することで公表済みの脆弱性に対処できる。一方、AK-SM800とAK-SC355には修正版が提供されておらず、ソフトウェアの更新によって既知の問題を解消する選択肢がない。こうした旧型機では、ネットワークからの隔離や機器そのものの交換が重要になる。
Danfossは、旧型機への更新提供を終了する理由について、自社のサポート方針と欧州の法制度を挙げている。Tech Insiderによると、同社ではサポート終了の宣言が、その後のサービス提供終了につながる仕組みとなっている。さらに、欧州のサイバーセキュリティ法制を踏まえ、すでにサポートを終えた旧型機へのサービス終了方針を厳格に適用すると説明した。同社の見解では、旧型機へのサービスを継続すれば、セキュリティ更新を維持する新たな法的義務が生じることになるという。そのため、顧客に対して営業窓口を通じて機器の交換を検討するよう呼びかけていた。
旧型機が攻撃対象となったのは今回が初めてではない。Danfossは同じニュースレターで、2022年にロシアの16店舗でAK-SM800を使用するスーパーマーケットが標的になった事例を紹介している。同年にはイスラエルでも40店舗がハッキングされており、すべての店舗がAK-SM800を使用し、適切なファイアウォールやVPNを導入していなかったという。同社はこうした過去の被害を踏まえ、2025年10月に旧型機へのサービス提供終了方針を顧客に改めて伝えていた。その約1年後に、フランスで今回の第1波が発生したことになる。
Danfoss以外のメーカーも、旧型機のセキュリティ問題に直面している。Copelandは、サポートを終了した世代のコントローラーに特定された脆弱性があることを認めており、旧型のXWEB EVOにはセキュリティ修正が提供されない。一方、XWEB PROは現行製品として扱われている。また、ベルギーの設備保守業者SabcobelのMoelans氏は、ソフトウェアの更新だけでは十分ではなく、物理的な改修が必要になる場合があると説明している。そのうえで、最も簡単な対処方法は、設備を安全なネットワーク接続を通じて管理することだと述べた。
EU法でも旧型機の更新は義務付けられず、店舗には隔離か交換の判断が必要
欧州連合サイバーセキュリティ機関（ENISA）によると、EUのサイバーレジリエンス法（Cyber Resilience Act）では、メーカーが負う脆弱性対応の義務と報告義務が区別されている。製品のサポート期間が終了した後も報告義務は継続する一方、脆弱性の修正や無償のセキュリティ更新を含む対応義務はサポート期間中に限られる。つまり、サポートを終了した製品について、メーカーが引き続きセキュリティ修正を提供する義務はない。また、欧州委員会によれば、2027年12月11日より前にEU市場へ投入された製品は、同日以降に重大な改変が加えられない限り、報告義務を除いて同法の対象とならない。Danfossが第1波の被害機器として挙げたAK-SM800とAK-SC355は、すでにサポート終了または販売終了となっている製品だ。
こうした状況では、旧型機に修正版が提供されることを期待するだけでは、セキュリティ上の問題を解決できない。当局とメーカーが推奨している現実的な対策は、管理用インターフェースのインターネットへの露出をなくすことと、旧型機をサポート対象の製品へ置き換えることだ。CERT-FRとCCBは管理画面を公開インターネットから切り離すよう求めており、Danfossも以前から旧型機から現行機への移行を推奨してきたと説明している。
ただし、店舗の冷凍冷蔵設備をネットワークから切り離す際には、運用上の確認も必要となる。CERT-FRとCCBは、保守業者へのデータ送信を停止する前に、保険契約の条件を確認するよう求めている。遠隔監視による温度管理などが契約上の要件になっている場合、接続を遮断することで別の問題が生じる可能性があるためだ。また、除霜運転の時間帯を中心に設備の設定全体を確認し、不正な変更が残っていないか調べることも推奨している。すでに侵害された機器を工場出荷時の状態にリセットしても、インターネットへの露出が解消されていなければ、再び攻撃を受けるおそれがあると両機関は警告している。
今回のメーカー発表や欧州当局の勧告には、日本国内での被害や日本の当局による警告は含まれていない。ただし、店舗や倉庫の冷凍冷蔵設備を保守業者がインターネット経由で遠隔管理している場合、欧州当局が示した確認項目は日本の設備管理にも参考になる。まず、管理用インターフェースが公開インターネットからアクセス可能になっていないか、初期パスワードが変更されているかを確認する必要がある。続いて、除霜運転の時間帯などの設定に不審な変更がないか調べ、遠隔接続を遮断する場合には保守契約や保険契約への影響も確認することが望ましい。
Danfossの説明が正しければ、オランダで攻撃された機器の一部は、インターネットからの切断や初期パスワードの変更によって被害を防げた可能性がある。一方、セキュリティ更新が提供されないAK-SM800やAK-SC355では、ネットワークからの隔離や機器の交換がより重要な対策となる。CERT-FRは攻撃キャンペーンが継続している可能性を指摘しており、旧型機をインターネットに公開したまま運用するリスクは依然として残っている。今回の2度の攻撃で具体的にどの脆弱性や認証情報が悪用されたのかは判明していない。今後はDanfossや各国当局による技術的な調査結果に加え、パリ検察庁とベルギー連邦検察の捜査によって、攻撃の侵入経路や被害が拡大した原因がどこまで明らかになるかが注目される。