仏スーパー350店の冷蔵庫が50度にダンフォス製制御装置4500台が今もネットに露出

攻撃者は夜の間に、フランスの少なくとも350軒のスーパーで冷蔵庫や冷凍庫を遠隔操作し、除霜モードに切り替えて、庫内の温度を最高50℃（122°F）まで上昇させた。Intermarchéでは約150店舗の冷蔵庫が6時間にわたって高温のままとなり、中の商品はすべて廃棄された。侵入経路となったのは、店内の冷蔵・冷凍設備全体を動かす装置だった。冷凍設備業者がインターネット経由で管理する、Danfoss製の制御装置だ。

買い物客の目にしたのは、閉鎖された冷凍食品売り場。そしてパリ中心部では、従業員が解凍された肉や溶けたアイスクリームをカート何台分も巨大なごみ容器に捨てる光景が広がった。しかし、問題はフランス国内にとどまらない。Reutersが検索エンジンShodanを使って調べたところ、攻撃後も少なくとも4,500台のDanfoss製インターフェースがオンラインで確認できた。フランスのスキャン企業Onypheによれば、最新ソフトウェアを稼働させているとみられる機器はごく一部にすぎない。

Carrefourでは80店舗、Monoprixではフランス国内の約490店舗のうち5％ほどが被害を受けた。Coopérative Uも攻撃を受けたが、最高経営責任者のドミニク・シェルシェールは、従業員や業者が迅速に対応したため、被害店舗の大半でコールドチェーンは維持されたと述べた。E.Leclercは、冷凍設備の供給業者の1社が攻撃されたと明らかにした。パリ検察庁は食品の損失に加え、設備から出火し始めたことも報告している。Intermarchéの親会社Les Mousquetairesを率いるティエリー・コティヤールはBFMTVに対し、被害額は「1日で全国数千万ユーロに上る」と語った。

Danfossによると、被害を受けた機器の多くは「耐用年数を終えており、ソフトウェアやセキュリティの更新を受けられない」状態だった。また、ほかの機器も「古いファームウェアで稼働していた」という。同社は、何年も前に販売を終了した旧型機種AK-SM 800とAK-SC 355を挙げたほか、現行のAK-SM 800A制御装置のうち、古いファームウェアを使っていた機器も被害に遭ったとした。フランス国家情報システム安全庁（ANSSI）は、CopelandとそのブランドDixellのソフトウェアも影響を受けたシステムに含まれると発表している。Copelandは「脆弱性」を認め、「現在、影響を受けた顧客と連携し、リスクの低減に取り組んでいます」と述べた。

スーパーの冷凍設備がインターネットにつながっているのは、ごく実務的な理由からだ。業者は店舗まで出向かなくても、温度調整や警報の解除、除霜サイクルの変更ができる。政府の緊急対応チームCERT-FRは、DanfossのAK-SMおよびAK-SC制御装置を運用するすべての事業者に対し、インターネットから切り離すか、接続できる相手を厳しく制限するよう求めた。AFPによると、ANSSIのトップ、ヴァンサン・ストリューベルは、この対応を急ぐ必要があると述べた。

攻撃者がどのように侵入したのか、そしてなぜ攻撃したのかは、まだ誰にも分かっていない。Reutersが引用した関係者によれば、犯行声明を出したグループはなく、身代金の要求もないため、捜査当局は困惑しているという。CERT-FRは、事業者が確認すべき脆弱性やファームウェアのバージョン、侵害の兆候を特定していない。セキュリティ企業ClarotyがAK-SM 800Aについて公表した脆弱性も、今回の攻撃との関連は確認されていない。最も古い機種の所有者には適用できるパッチがないため、根本的な解決策は新しい機器への交換となる。旧型機器を設置した業者を通じて購入する必要がある。Pen Test Partnersのケン・マンローは「これは基本的なサイバー衛生の問題です。対応を誤れば、解凍された食品が悪臭を放つ惨状になります」と述べた。また、攻撃者は開いた扉を押したにすぎず、犯人は「その辺でいたずらをしている子どもたち」でもおかしくないと付け加えた。

フランスだけの問題ではない可能性もある。脅威インテリジェンス分析会社Sekoiaのアナリスト、フェリックス・エメはReutersに対し、スペイン、ポルトガル、ポーランド、ドイツ、ベルギーでも影響があったと述べたが、詳しい説明はしなかった。ANSSIはヨーロッパ各地の関係機関と連絡を取っている。同じ時期には、オランダの小売業者Ahold Delhaizeのオンライン食料品サービスが別の事案で停止したが、オランダ国家サイバーセキュリティセンター（NCSC）は今回の攻撃との関連を認めていない。過去にも同様の事例がある。8月下旬には米軍の売店約12か所で冷蔵庫が同じような手口で妨害され、Danfossの顧客向けニュースレターには、2022年にロシアのスーパー16店舗、イスラエルの店舗40か所が攻撃された記録が残っている。

攻撃が始まったのは10月11日の日曜日の夜で、CERT-FRは翌日に警告を公表した。DanfossはAK-SM 800の耐用終了を2021年5月に宣言し、AK-SC 355は2016年に段階的に販売を終了した。一方、Clarotyが新しい機種について調査結果を公表したのは8月9日だった。パリ検察庁のサイバー犯罪部門は、被害者の数を確認し、それぞれの損失を攻撃に結びつけるため、サイバー犯罪対策局OFACが担当する捜査を開始した。フランス小売業連盟FCDはDanfossに「全面的な情報開示」を求めている。捜査当局が侵入経路を突き止めるまでは、CERT-FRが挙げる対策のうち最も費用がかからない方法に、パッチは必要ない。制御装置をインターネットから切り離すことだ。

タグ: Pelé, Cher, IoTセキュリティ, サイバー攻撃, ANSSI, Carrefour