フランス・スーパーマーケットのコールドチェーンがサイバー攻撃を受け大規模食品廃棄に：Danfossは長年にわたり脆弱性を認識しながら強制アップグレードせず、企業の責任が浮上

フランス・スーパーマーケットのコールドチェーンがサイバー攻撃を受け大規模食品廃棄に：Danfossは長年にわたり脆弱性を認識しながら強制アップグレードせず、企業の責任が浮上

ハッカーがデンマークの産業大手Danfossが提供するリモート温度管理ソフトウェアを攻略し、フランス数百店舗のチェーン系スーパーマーケットの冷凍・冷蔵設備を一夜にして摂氏50度まで異常上昇させ、生鮮食品および冷凍食品を大規模に廃棄処分させ、経済的被害は数百万ユーロに達すると見込まれる。事件の背後には、ヨーロッパのコールドチェーンの命脈を握る供給企業が、アップグレードを「長期にわたって勧めてきた」にもかかわらず、脆弱性の存在を知りつつ旧型システムに食品温度の管理を続けさせてきたという実態がある。

英国放送協会（BBC）の報道によれば、フランス小売コールドチェーンを狙った今回のサイバー攻撃は月曜日の早朝に発生した。Coopérative Uの最高経営責任者Dominique Schelcher氏は今回の攻撃を「極めて深刻かつ前例のないものだ」と位置づけた。同チェーンでは100店舗以上が被害を受け、IntermarchéおよびそのブランドNettoでは合計180店舗が侵入された。感染拡大を防ぐため、Mousquetairesグループはさらに約100店舗のネットワーク接続を緊急切断した。Carrefourは全国6000店舗中80店舗が影響を受けたことを確認し、Monoprixは約400店舗の傘下店舗のうち約5%が被害を受けたと報告し、E.Leclercもまた被害を免れなかった。

フランス全国約1万5000店舗のスーパーのうち、約400店舗が波及を受けた。アルザス地域の2店舗では合計27万ユーロの被害がすでに報告されており、全国規模の実態についてBBCは「数百万ユーロに上る」と伝えている。フランス・パリ検察庁はすでにサイバー犯罪に関する特別捜査を開始した。

最も問責的な意味を持つ細部は、Danfoss自身の声明から明らかになった。BBCの報道によれば、Danfossは影響を受けた冷凍・冷蔵設備がいずれも旧型モデルであり、同社が事前に特定していたリスクを除去するために「更新できない」状態にあることを認め、サポート対象システムへの切り替えを「長年にわたり」顧客に勧めてきたと述べた。

つまり、ヨーロッパの業務用冷凍・冷蔵分野における中核的供給企業は、すでに自社旧型製品のセキュリティ脆弱性を把握していたにもかかわらず、パッチを適用できない旧型機器を重要な食品サプライチェーンの温度管理という業務にそのまま稼働させ続け、攻撃者によって大規模な食品廃棄の現場に仕立て上げられるまで放置していたのである。BBCの報道は、Danfossがハッカーによる実際の加熱上限温度を確認していないと指摘しているが、ロイター通信の報道によれば、Intermarchéが提供したデータでは、攻撃により同社の冷凍・冷蔵設備が夜間6時間にわたり摂氏50度まで加熱されたとしている。フランスのBFMTVが放映した現場映像からは、ある店舗のアイスクリーム用ショーケースのモニター表示温度が摂氏26.5度に達し、一部の店舗では小規模な火災も発生していた様子が確認された。

集中化・リモート化されたコールドチェーンの管理手法は、単一のソフトウェア脆弱性だけで数百店舗を同時に麻痺させ得ることを意味する。攻撃者は個別の物理的な冷凍・冷蔵設備を一つずつ突破する必要はなく、管理中枢だけを掌握すれば、全国の食品サプライチェーンの重要拠点を同時に機能停止に追い込むことができる。一社の供給企業が脆弱性を長年にわたって認識し、アップグレードの選択肢を長年にわたって提供しながら、それでもパッチ不可能な旧型システムを重要な食品インフラの業務上稼働させ続けたとすれば、攻撃によって生じた損害はハッカーの罪にのみ帰せられるものではなく、企業ガバナンスの機能不全に対する付けでもあろう。

欧州連合食品担当委員Christophe Hansen氏はソーシャルメディアX上で今回の攻撃を非難し、「食品安全はあらゆるレベルでもっと注目される必要がある。食品の武器化はすでに現実となっているからだ」と警告した。Schelcher氏もまた徹底的な究明を求め、フランスの食品供給にとって重要な設備への攻撃は「容認できない」と訴えた。

事件には未解明の部分がなお複数残っている。攻撃の背後にある主体は依然として明らかではなく、フランス検察は捜査に着手したばかりで帰属の判断は示されていない。全国の実際の被害総額も依然として不明であり、公表されているのはアルザス地域の2店舗で合計27万ユーロの被害額という数字のみである。ハッカーがDanfossのソフトウェアシステムに実際に侵入した技術的詳細も公開されていない。被害を受けた複数のチェーンは不審な商品を撤去し緊急に商品を補充したが、一部の店舗の冷凍・冷蔵陳列ケースは月曜日正午時点でも停止した状態が続いていた。