フランスのスーパーマーケットで2026年10月11日夜から12日にかけて、冷蔵・冷凍設備を標的とする大規模なサイバー攻撃が発生し、大量の食品が廃棄される被害が広がった。フランスのコンピューター緊急対応チーム「CERT-FR」も12日、デンマークのDanfoss製冷蔵設備管理装置で多数の侵害を確認したと警告している。設備の温度設定や霜取り運転を遠隔操作できる仕組みが悪用され、店舗の食品が失われる事態に発展した。さらに、被害を受けた機器には、ソフトウェアを更新できる現行製品と、すでにサポートが終了した旧式製品が混在している。冷蔵設備を復旧させるだけでなく、再び攻撃を受けない状態にするための対策が求められている。
冷蔵設備の温度が50℃に上昇、食品の大量廃棄に発展
Reutersの10月12日の報道によると、スーパーマーケットチェーン「Intermarché」を傘下に持つ小売グループ「レ・ムスクテール」は、約150店舗の冷蔵設備がサイバー攻撃の影響を受けたと明らかにした。
同社の説明では、冷蔵設備の温度が50℃に引き上げられ、その影響が約6時間にわたって続いたという。広報担当者は、食品の安全性を確保するため、影響を受けた商品を廃棄したと説明している。
別の大手小売チェーンCarrefourも約80店舗が被害を受けたことを明らかにしており、パリ検察当局が事件の調査を進めている。
ただし、Intermarchéの約150店舗という数字は、Reutersの報道時点で同社が把握していた被害規模であり、フランス全体の最終的な被害店舗数ではない。
また、50℃という温度についても、すべての店舗の冷蔵・冷凍庫で同じ状態が発生したことを示す測定データが公開されているわけではない。被害の程度や温度の推移は、店舗や設備によって異なる可能性がある。
フランス国家情報システムセキュリティ庁（ANSSI）傘下のCERT-FRは、10月12日付の警報「CERTFR-2026-ALE-012」で、Danfoss製の「AK-SM」および「AK-SC」シリーズに対する多数の侵害を把握していると発表した。
CERT-FRは、こうした機器の管理画面をインターネットに直接公開することは、セキュリティ上の適切な運用ではないと指摘している。そのうえで、対象機器をインターネットから切り離すか、アクセスを制限するよう求めた。
今回の事件は、単にコンピューター上のデータが盗まれたり、システムが停止したりする被害とは異なる。サイバー攻撃によって実際の冷蔵設備の動作が変更され、食品の大量廃棄という物理的・経済的な損失につながったことが大きな特徴だ。
攻撃の標的となったのは、店舗の冷蔵設備を一括管理する装置
今回の事件で問題となったDanfossのAK-SMシリーズは、スーパーマーケットなどに設置された複数の冷蔵・冷凍設備をまとめて監視・制御するための管理装置だ。
サイバーセキュリティ企業Clarotyの研究チーム「Team82」が2026年8月9日に公開した調査によると、「AK-SM 800A」は、ブラウザーから冷蔵設備の温度設定や運転スケジュールを変更できる。
管理者は、過去の警報履歴を確認したり、利用者ごとの権限を設定したりすることも可能だ。技術者が店舗へ直接出向かなくても設備の状態を把握し、必要な保守作業を行えるよう設計されている。
こうした仕組みは、多数の店舗を運営する小売チェーンにとって大きな利点がある。一方で、管理装置へのアクセス権限を攻撃者に奪われると、複数の冷蔵設備をまとめて操作される危険性も生じる。
冷凍・冷蔵業界の専門メディアCooling Postの報道によると、今回の攻撃では冷蔵設備の霜取り機能が連続して作動する状態にされ、庫内温度の上昇と食品の大量廃棄につながったという。
霜取りは、冷却装置に付着した霜を取り除くための通常の保守機能だ。しかし、霜取り運転が正常な範囲を超えて続けられると、食品を冷却する本来の機能が妨げられてしまう。
つまり、攻撃者が必ずしも機器に新しい機能を追加したわけではない。もともと設備に備わっている正規の機能でも、実行するタイミングや継続時間を不正に変更すれば、深刻な被害を引き起こせる。
ここで区別すべきなのは、遠隔保守ができることと、管理画面がインターネット上で誰からでもアクセスを試みられる状態になっていることだ。
Team82は8月の調査で、インターネット上に公開されているAK-SM 800Aの管理画面を調べた。インターネット接続機器の検索サービス「Censys」の結果では、2,765台が外部からアクセス可能な状態にあったという。
ただし、この2,765台は調査時点で確認された公開機器の数であり、今回の攻撃で侵害された機器の台数や、フランス国内の被害店舗数を示すものではない。
それでも、冷蔵設備の動作を変更できる管理画面が外部からアクセス可能な状態にあれば、攻撃者に侵入を試みる機会を与えることになる。
遠隔保守の利便性を維持しながら、管理画面への接続を信頼できる利用者やネットワークに限定することが重要だ。
以前から知られていた脆弱性は、今回の攻撃に使われたのか
Danfoss製の管理装置には、今回の事件より前からセキュリティ上の問題が報告されていた。
Danfossは2025年8月1日付のセキュリティ告知「DSA-2025-08-01」で、AK-SM 8xxAシリーズのバージョン4.3.1未満に存在する二つの脆弱性を公表している。
一つ目の「CVE-2025-41451」は、認証された利用者がメール通知の設定機能を悪用することで、機器上で不正なOSコマンドを実行できる可能性がある問題だ。
二つ目の「CVE-2025-41452」は、認証後にWebサーバーの設定を不正に変更することで、管理画面のサービスを停止させられる可能性がある問題とされている。
ClarotyのTeam82は、これらの脆弱性について詳しい技術調査を行い、管理機能が悪用される危険性を明らかにした。
さらに同チームは、通常のパスワード認証を回避できる可能性がある、別の認証処理も発見している。これは「CVE-2025-41450」として扱われる問題で、通常の管理者パスワードを知らなくても認証を通過できる経路が存在していた。
このように、研究チームは管理画面への不正アクセスと、認証後に利用できる機能の悪用という両面から、装置のセキュリティ上の問題を検証していた。
ただし、過去に脆弱性が発見されていたことと、今回の攻撃でそれらが実際に悪用されたことは別問題だ。
CERT-FRは10月12日の警報で多数の侵害を確認したものの、攻撃に利用された具体的な脆弱性やCVE番号までは特定していない。
したがって、2025年の脆弱性公表、2026年8月のClarotyによる研究公開、そして今回10月に発生した攻撃を、現時点で一つの侵入経路として結び付けることはできない。
どの脆弱性が悪用されたのか、あるいは別の方法で認証情報が奪われたのかを明らかにするには、被害機器のログやファームウェアの状態などを調査する必要がある。
また、Danfossが2025年に公開した修正版「4.3.1」は、当時の問題に対処したバージョンであり、現在の最新版という意味ではない。
2026年10月時点のDanfoss公式AK-SM 800Aソフトウェア配布ページには、10月公開の「5.3.x」が掲載されている。
そのため、過去の脆弱性情報に記載された修正版を導入するだけでなく、現在メーカーが提供している最新の更新内容や、既存の設備との互換性を確認する必要がある。
サポート終了機器は交換が必要、現行機器も更新だけでは不十分
今回の事件が深刻なのは、被害を受けた機器の中に、すでにメーカーのサポートが終了している製品が含まれていることだ。
Cooling Postが10月12日に掲載したDanfossへの取材記事によると、被害を受けた装置の大半は、旧式製品、または古いファームウェアを使用していた現行製品だったという。
Danfossが挙げた旧式製品には「AK-SM 800」と「AK-SC 355」が含まれる。
AK-SM 800は2021年に製品寿命を迎え、AK-SC 355は2016年に段階的に廃止された。いずれも現在はソフトウェアやセキュリティの更新が提供されていない。
一方、現行製品のAK-SM 800Aでも被害が確認されたが、Danfossによると、影響を受けた機器では古いファームウェアが使われていたという。
同社は、サポート対象の機器には最新のファームウェアを適用し、旧式機器については現行世代の製品へ移行するよう、以前から顧客に推奨していたと説明している。
このように、機器の種類や状態によって、必要な対策は異なる。
Danfossの2025年10月のサポート関連資料、現行機器のソフトウェア配布ページ、CERT-FRの警報を整理すると、主な対応は次のようになる。
| 対象・状態 | 確認されている状況 | 必要な対応 |
|---|---|---|
| AK-SM 800、AK-SC 355などの旧式機器 | 製品サポートが終了し、セキュリティ更新を受けられない | 現行世代の機器への交換を検討する |
| 現行製品のAK-SM 800A | 2026年10月時点で5.3.xが提供されている | 最新の更新内容や互換性を確認し、ファームウェアを更新する |
| 侵害が疑われるAK-SM、AK-SCシリーズ | CERT-FRが初期化や認証情報の変更を含む復旧手順を提示 | 接続を制限したうえで機器を初期化・再設定し、認証情報やアカウントを点検する |
※機器の世代に応じた対策と、侵害が疑われる場合の復旧対策を整理したもの。侵害が疑われる機器への対応は、現行製品・旧式製品のいずれにも必要となる。
特に注意すべきなのは、すでに侵害された可能性がある機器では、ファームウェアを更新したり、温度設定を元に戻したりするだけでは、安全な状態に復旧したとは言えないことだ。
CERT-FRは、侵害が疑われるAK-SMおよびAK-SCシリーズについて、ネットワークからのアクセスを保守事業者など必要な接続元に限定したうえで、工場出荷状態への初期化と、利用可能なすべてのセキュリティ修正の適用を求めている。
さらに、パスワードなどの認証情報を変更し、既存のアカウントに不審なものがないかを確認したうえで、機器全体を再設定する必要があるとしている。
冷蔵設備の温度が正常に戻ったとしても、攻撃者が使用した認証情報や不正な設定が残っていれば、再び操作される危険性がある。
そのため、設備を正常に動かすための復旧と、セキュリティ上の問題を取り除くための復旧を、別々に考える必要がある。
また、現行機器への更新にも注意点がある。
Danfossの公式配布ページでは、AK-SM 800Aの新しいファームウェアについて、より厳格な認証管理機能が導入されることを説明している。
例えば、セッション管理を厳格にする設定ではHTTPSによる接続が必須となり、外部システムから接続する際の認証方法も変わる。
そのため、装置本体だけを更新すると、従来の方法で接続していた保守用ソフトウェアや外部システムが、そのままでは利用できなくなる可能性がある。
Danfossも、更新前にネットワークの構成や外部システムとの接続方法を確認するよう求めており、状況によっては現地での更新作業を推奨している。
つまり、古い機器は交換し、現行機器は更新すれば終わりという単純な話ではない。更新後も安全に運用できるよう、保守事業者の接続方法や利用者の権限管理まで見直す必要がある。
冷蔵設備を復旧するだけでは、再発防止にならない
今回の事件は、店舗の冷蔵・冷凍設備を管理するシステムが、食品の安全性や小売業の事業継続に直接関わっていることを浮き彫りにした。
遠隔保守そのものは、多数の店舗を効率よく管理するために欠かせない仕組みだ。設備の異常を早期に発見し、現地へ出向かずに設定を変更できることには大きな利点がある。
しかし、外部からアクセスできる管理画面のセキュリティが不十分だったり、サポートが終了した機器を使い続けたりすれば、その利便性が攻撃者に悪用される危険性も高まる。
今回のように冷蔵設備の制御が奪われると、単なるシステム障害にとどまらず、商品の廃棄や営業への影響、設備の安全性に関わる問題へと発展する。
今後は、攻撃者が実際にどのような経路で管理装置へ侵入したのか、既知の脆弱性が悪用されたのかといった点の解明が重要になる。
同時に、小売事業者には、自社店舗で使用している冷蔵設備の型番やファームウェアのバージョン、メーカーのサポート期限を把握することが求められる。
管理画面がインターネットに直接公開されていないか、遠隔接続できる利用者は適切に制限されているか、機器の更新や侵害時の復旧を誰が担当するのかといった点も確認する必要がある。
食品を冷やせる状態に戻すことと、攻撃者に再び操作されない状態に戻すことは、どちらも欠かせない。
今回の攻撃は、冷蔵設備のサイバーセキュリティがIT部門だけの問題ではなく、食品の安全性と店舗運営そのものを守るための課題であることを示している。
