フランスの食品小売店の冷凍冷蔵設備コントローラーの侵害
- カテゴリ
- 不正アクセス
フランスの食品小売チェーンの店舗で、2026年10月11日夜から12日にかけ、冷凍冷蔵設備がサイバー攻撃を受けた［10、11］。ANSSI（国家情報システムセキュリティ庁）のCERT-FRは、DanfossのAK-SM・AK-SCシリーズと、Copeland・Dixellのxwebの遠隔コントローラーで、多数の侵害を把握している［3］。10月16日の版では、これらの機器への攻撃がおそらく今も続いているとした［3］。
経緯
Coopérative UのPDGのXへの投稿（CNews掲載の写し）によると、前夜から自社網の複数の店舗で、冷熱を作る設備にサイバー攻撃が及んでいる［1］。Coopérative Uのチームは冷凍冷蔵業者と連携し、できるだけ早く状況を元に戻そうと全力を挙げている［1］。
Les Mousquetaires・Intermarchéのトップは10月12日夜のBFMTVで、攻撃者が遠隔で自社のすべての冷蔵ケースを霜取りの状態にし、温度を50度〔注3〕まで上げたと述べた［11］。Forescoutの10月22日の報告では、報じられた操作に、自動化を思わせる短時間の連続した設定変更が含まれていた［9］。
ロイターの記事では、Les Mousquetairesの話として、約150店舗の冷蔵設備が一晩のうちに約6時間にわたって50度まで加熱された［12］。
SecurityWeekはLe Mondeの報道を引き、攻撃者が霜取りの周期を1時間から最大8時間に延ばし、警報を遅らせたと報じた［16］。
Intermarchéの広報はInfosecurity Magazineに、攻撃者がメーカーの冷凍冷蔵の制御ソフトの古い版を狙ったと認めた［17］。被害を受けた店舗には、遠隔制御の機能を持ち、通信経路が十分に守られていない脆弱なDanfossのコンソールを使う店が含まれる［17］。
DanfossがCooling Postに出した声明では、被害を受けたユニットの大半は旧製品か、古いファームウェアのままの現行製品だった［14］。旧製品は2021年に正式にEOL（End of Life）としたAK-SM800と、2016年に段階的に廃止したAK-SC355で、どちらもソフトウェアとセキュリティの更新をもう受けない［14］。被害を受けた現行のAK-SM800Aは、古いファームウェアで動いていた［14］。Danfossは、影響を受けた顧客と、可能な範囲でのファームウェアの更新、ネットワークの保護の強化、直接のインターネット接続の解消などの緩和策を進めているとした［14］。
冷凍空調業者の全国組合Snefccaは、Batiactuが引いたcommuniquéで、温度と霜取りの設定が高温に変えられ、商品の損失や出火につながりうるとした［22］。DanfossのAK-SM 800とAK-SC 355に弱点がある可能性にも触れた［22］。DanfossがBFM-TVに送ったcommuniquéでは、影響を受けた冷凍冷蔵設備の管理システムは限られた数で、大半は寿命を迎えた旧世代の製品だとした［22］。
Solutions NumériquesはFrance 3 Régionsの報道を引き、Tarn県のE.Leclercの店で10月13日の朝、サイバー攻撃によってコールドチェーンが途切れたと報じた［20］。この店の機器はDanfoss製ではなくDixell製で、店は冷蔵庫の商品をすべて捨てなければならなかった［20］。Dixellは、自社が狙われたことを確認していない［20］。
既知の脆弱性と侵入経路の説明
| CVE | 内容 | 資料 |
|---|---|---|
| CVE-2025-41450 | 日付から作る「code-of-the-day」の仕組みを悪用した認証の回避 | ［6］ |
| CVE-2025-41451 | メールの設定でのコマンドの注入による遠隔からのコードの実行 | ［6］ |
| CVE-2025-41452 | 認証を通った利用者によるNginxの設定の注入 | ［6］ |
Claroty Team82の報告では、DanfossはR4.3.1のファームウェアを出し、3件を修正した［6］。認証の回避は、番号4.2のパッチでも直る［6］。Team82は利用者に、R4.3.1以降へのできるだけ早い更新と、管理画面を直接インターネットに出さないことを求めた［6］。Team82は、Censysのスキャンをもとに、インターネットから見えるAK-SM 800Aを2,765台と数えた［6］。
ロイターの記事では、首相府の関係者の話として、ANSSIはDanfossが供給したソフトウェアに脆弱性があったことを確認した［12］。
Solutions Numériquesの記事では、Synacktivの研究者が、Shodanなどの検索エンジンで露出した機器を見つけ、既知の脆弱性か弱い認証情報を使う機会主義的な攻撃の仮説を有力とみた［20］。正確な手口は、この段階では確かめられないともした［20］。
ANSSIの長官は上院の外交・防衛委員会で、攻撃は高度な技術によるものではなく、店舗の基本的な防護の欠如によるものだったと説明した［19］。研究者が最近公表した脆弱性が悪用されたという一部の分析者の見方は退けた［19］。長官の説明では、機器はファイアウォールもネットワークの分離も無いままインターネットから直接届き、管理画面は弱いパスワードだけで守られていた［19］。
同じ時期の別の障害
TIMEの記事では、Ahold Delhaizeもネットワーク内のセキュリティの問題で複数のシステムを止めた［18］。この障害とフランスの攻撃との関連は確立していない［18］。
Solutions Numériquesは、Ahold Delhaizeの障害は情報システムに及ぶもので、冷凍冷蔵設備のものではないと報じた［20］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2025年 | - | AK-SM800Aの4.2より前の版に、認証回避の脆弱性CVE-2025-41450があるとの警告が出た | ［21］ |
| 2026年 | Claroty | AK-SM 800Aの脆弱性3件を報告した | ［6］ |
| 2026年 | Coopérative UのPDG | Xに投稿した | ［1］ |
| 2026年 | CERT-FR | 警報CERTFR-2026-ALE-012の初版を出した | ［3］ |
| 2026年 | パリ検察庁 | 職権で捜査を始めた | ［10］ |
| 2026年 | Snefcca | communiquéを出した | ［22］ |
| 2026年 | CERT-FR | 警報に他の対象機器を加えた | ［3］ |
| 2026年 | BSI | インターネットから届く制御設備を最新の水準で守るよう強く勧めた | ［5］ |
| 2026年 | Copeland | XWEB EVOのセキュリティの告知を出した | ［2］ |
| 2026年 | CERT-FR | 警報の推奨を改めた | ［3］ |
| 2026年 | CERT-FR | 週報CERTFR-2026-ACT-044で警報を改めて挙げた | ［4］ |
| 2026年 | ANSSIの長官 | 上院の外交・防衛委員会で説明した | ［19］ |
影響範囲
SecurityWeekの記事では、経済・財務相が10月13日に議員に示した数として、国内の約1万のスーパーのうち約700が影響を受けた［16］。
| チェーン | 影響を受けた店舗 | 示した組織と媒体 | 資料 |
|---|---|---|---|
| Intermarché | 150〜200店 | Intermarché（AFPへの回答） | ［10］ |
| Intermarché・Netto | 少なくとも300店〔注1〕 | 各チェーン（AFPへの確認） | ［11］ |
| Coopérative U | 100店未満 | Coopérative U（AFPへの回答） | ［10、11］ |
| Coopérative U | 2,000店のうち80店 | Coopérative UのPDG（10月13日のRTL） | ［13］ |
| Carrefour | 6,000店のうち主に80店 | Carrefourの広報（Infosecurity Magazine） | ［17］ |
| Monoprix | 約30店 | 各チェーン（AFPへの確認） | ［11］ |
| Monoprix | 全店舗の約5% | Monoprix（ロイター） | ［12］ |
| E.Leclerc | 複数店 | 各チェーン（AFPへの確認） | ［11］ |
Coopérative UのPDGはRTLで、対象の店舗の大多数は攻撃に対処できたと述べた［13］。対応が間に合わなかった少数の店では、コールドチェーンが途切れて商品が捨てられた［13］。損失は小型店で数万ユーロ、ハイパーマーケットで18万〜20万ユーロに達しうる［13］。Coopérative Uの店舗はDanfossの直接の顧客ではなく、冷凍冷蔵業者がこの仕組みを店舗に提供している［13］。
E.LeclercはAFPに、冷凍冷蔵機器の納入業者の1社に及んだ攻撃だと説明した［11］。Les Mousquetaires・Intermarchéのトップは、全国で、危機対応のひと朝だけで数千万ユーロ〔注2〕になると見積もった［11］。
Infosecurity MagazineはBFMTVの報道を引き、HaguenauのIntermarchéとSuper Uの2店だけで、すでに27万ユーロの商品の損失が出たと報じた［17］。Intermarchéの広報は同誌に、廃棄する食品の量はまだ見積もれず、法務と保険の担当が調査を始めたと述べた［17］。
ロイターの記事では、Sekoiaの上級アナリストの話として、スペイン、ポルトガル、ポーランド、ドイツ、ベルギーでも被害が確認されている［12］。
対応と現状
パリ検察庁はAFPに、捜査はサイバー犯罪対策部門が指揮し、サイバー犯罪対策局（OFAC）に委ねたと述べた［10］。捜査で被害者を特定し、被害者が伝えた食品の損失や出火との関係を確かめる［10］。商務省はAFPに、小売各社と連絡を取っているが、この段階で追加の情報は無いと述べた［10］。
パリ検察庁はThe Recordに、告訴を約10件受け、被害者を約700と見積もっていると説明した［15］。捜査は続いており、犯行声明は出ていない［15］。
ANSSIがThe Recordに示した説明では、調査は続いており、影響を受けうる分野で予防と修復の措置を調整していて、特に大型小売に重点を置いている［15］。EUのサイバーセキュリティ機関ENISAの説明では、EUのサイバーレジリエンス法は製造者にEOLの製品を悪用した攻撃の報告を求めるが、問題の修正までは求めない［15］。
首相の周辺の話では、首相はANSSIに直ちにこの問題に取り組むよう求め、自ら案件を追っている［11］。ANSSIは、国内では潜在的な被害者を支援し、欧州では各国の機関と調整するために動員されていると認めた［11］。ANSSIの長官は、DanfossのAK-SM・AK-SCシリーズの冷熱コントローラーをインターネットから切り離すか、最低でもネットワークをごく厳しく絞ることが急務だと強調した［11］。
Le Monde Informatiqueの記事では、ANSSIは警告や助言はできても、小売に冷凍冷蔵設備の接続の規則を課す手段は持たない［19］。長官は上院で、研究所からワクチンを保管する薬局まで、医療分野にも同様の設備があると指摘し、ANSSIは医療関係者と迅速な確認を行った［19］。ドイツのBSI（連邦情報セキュリティ庁）の長官は、この攻撃はどの国でも起こりえたもので、今もいつでも模倣されうると述べた［5］。
CERT-FRの警報の推奨
警報は、管理画面をインターネットに出すことは一般に良い慣行に反するとした［3］。修正の無いEOLの機器をインターネットに出し続ければ侵害の可能性はごく高く、工場出荷時に戻すだけでは、機器は脆弱なまま確実に再び侵害されるとも注意した［3］。
| 機器の状態 | 推奨 | 資料 |
|---|---|---|
| 侵害されていない | 対象のユニットと、公開IPアドレスで露出しているすべてのユニットのインターネットへの露出をなくす | ［3］ |
| 侵害されていない | 冷凍冷蔵業者へのデータの送信を止める前に、保険の契約の条件を確かめる | ［3］ |
| 侵害されていない | 霜取りの時間帯を含めて、設定の全体を確かめる | ［3］ |
| 侵害されていない | 復旧はVPNか保護されたネットワークを通してだけ行う（緊急時に業者の送信元IPアドレスをファイアウォールで絞る方法は恒久策とみなさない） | ［3］ |
| 侵害されていない | ファームウェアを更新し、セキュリティレベルをStrictにし、既定のパスワードが変わっていることを確かめる | ［3］ |
| 侵害された | 露出をなくしてDanfossの機器を再起動し、直らなければ工場出荷時の状態に戻す（Reset Factory） | ［3］ |
| 侵害された | VPNなどを通して復旧し、機器を設定し直して運用に戻す | ［3］ |
メーカー各社の対応
The Recordの記事では、Danfossは2025年10月のニュースレターで、欧州の最近のサイバーセキュリティの法令を理由に、旧製品に「hard End of Service」の方針を適用するとしていた［15］。同じニュースレターでは、同社のコントローラーが関わった過去の攻撃として、ロシアのウクライナ侵攻の初めにロシアのスーパーが狙われた例と、イスラエルの40店の侵害に触れていた［15］。イスラエルの店は、いずれもファイアウォールかVPNの保護が十分でなかったとDanfossは説明していた［15］。
LeMagITの記事では、Danfossは、機器に直接つながずに管理できる自社運営の基盤「Danfoss StoreView Web」の展開を始めている［21］。
Copelandは告知で、販売を終えてEOLに達した世代のXWEB EVOに脆弱性があることを認め、詳しい調査を始めた［2］。利用者には、XWEB EVOを直ちに公開のインターネットから外し、ローカルネットワークから不審な活動を探し、必要なら機器を復元するよう求めた［2］。XWEB EVOは保守を終え、ソフトウェアの更新もセキュリティの修正も今後受けない［2］。Copelandは、現行のXWEB PROへの移行を強く勧めた［2］。
同じ文書のDixell Franceの補足では、XWEB PROとEVOは、IDとパスワードがともに「Admin」の同じ工場出荷時のアカウントで出荷される［2］。EVOには設定できるパスワードの方針が無く、5分間に5回誤るとアカウントを5分間ロックする［2］。
小売と業界団体の対応
IntermarchéがAFPに説明したところでは、店舗は対象の生鮮品と冷凍品をすべて捨てざるを得ない［10］。保険がこの種の店舗の事故を補償しない点が、難しい問題の一つになるとも述べた［10］。
フランス小売業連盟（FCD）は、Danfossに状況の全面的な開示を求めた［11、12］。AFPの記事では、FCDは同じ要求をDanfossの顧客の冷凍冷蔵業者にも向け、必要なすべての措置を遅れなく実施するよう求めた［11］。ロイターの記事では、FCDは声明で、影響を受けた店舗の一部は営業を再開したとした［12］。
Snefccaのcommuniquéでは、施工業者は影響を抑えるために監視システムを切り離し、安全に再接続するためのDanfossが認めた手順を待っている［22］。メーカーは原因も解決策もまだ示していないとした［22］。
観測主体による露出の計測
| 観測主体 | 対象 | 数 | 資料 |
|---|---|---|---|
| Censys | フランスのStoreViewの管理画面 | 10月11日の1,825から10月14日の537 | ［7］ |
| Censys | フランス以外のStoreViewの管理画面 | 同じ期間に1,166から966 | ［7］ |
| SecurityScorecard | 10月13日の収集でのStoreViewの観測 | 5,282件（公開IP 4,642）、うちフランス2,606件 | ［8］ |
| SecurityScorecard | 10月13日の収集でのXWEB系のHMIの観測 | 6,340件（公開IP 5,643） | ［8］ |
| Forescout | Shodanでの10の製品群のサービスの観測 | 12,976件（公開IP 6,017、99の国・地域） | ［9］ |
Censysの報告では、攻撃の前はインターネット上のStoreViewの管理画面の61%がフランスにあった［7］。10月11日にフランスで数えた管理画面のうち1,158は、管理者のパスワードを当日の日付から導ける4.2未満の版だった［7］。10月14日までに、修正済みの版も未修正の版も約70%ずつ減った［7］。Censysは、運用者が機器を更新せずにインターネットから外しているとみた［7］。
SecurityScorecardは、XWEB系の観測は脆弱性が確かめられた機器の数ではなく、公開IPをフランスの被害者に結びつけてもいないとした［8］。同社の報告では、侵入の方法は分かっておらず、今のところAIをこの攻撃に結びつける証拠も無い［8］。Forescoutの集計では、AK-SM 800AのStoreViewの観測の80%（3,762件）は、4.3.1より古いファームウェアで動いていた［9］。
未公表の事項
注
出典
当事者
- ［1］Coopérative UのPDGのXアカウント（@schelcher）『Je confirme qu'une cyberattaque touche depuis cette nuit les installations de production de froid de plusieurs magasins de notre réseau @CooperativeU.』（2026年10月12日公開、CNews掲載の写し）
- ［2］Copeland Controls S.r.l.・Dixell France『Avis de sécurité relatif aux systèmes de supervision XWEB』（2026年10月14日公開、PDF）
公的機関
- ［3］CERT-FR（ANSSI）『Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération』（2026年10月12日公開、2026年10月16日更新）
- ［4］CERT-FR（ANSSI）『Bulletin d'actualité CERTFR-2026-ACT-044』（2026年10月19日公開）
- ［5］Bundesamt für Sicherheit in der Informationstechnik『BSI rät dringend zur Absicherung vernetzter Steuerungssysteme』（2026年10月13日公開）
調査・観測
- ［6］Claroty『Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers』（2026年8月9日公開、2026年10月14日更新）
- ［7］Censys『Frostbitten in France: A Danfoss StoreView Internet Exposure Report』（2026年10月14日公開、2026年10月22日更新）
- ［8］SecurityScorecard『Hackers Turned Supermarket Refrigerators Into Heaters』（2026年10月14日公開）
- ［9］Forescout Research - Vedere Labs『Cold Chain, Open Control: Exposed Refrigeration Systems Reveal Global Risk』（2026年10月22日公開）
報道機関
- ［10］Boursorama『Des supermarchés victimes d'une cyberattaque visant leurs installations frigorifiques, confirment Coopérative U et Intermarché』（2026年10月12日公開、AFPの配信）
- ［11］Boursorama『Des supermarchés français touchés par une cyberattaque inédite de leurs installations frigorifiques』（2026年10月12日公開、AFPの配信）
- ［12］ニューズウィーク日本版『仏スーパー冷蔵設備に大規模サイバー攻撃、食品廃棄や火災で当局調査』（2026年10月13日公開、ロイターの配信）
- ［13］Boursorama『Cyberattaque contre les frigos des supermarchés : une minorité de magasin touchés, tempère le PDG de Coopérative U』（2026年10月13日公開）
- ［14］Cooling Post『Danfoss moves to mitigate cyberattack』（2026年10月12日公開）
- ［15］The Record『EU cyber law won't force fixes for fridge controllers hit in French attack』（2026年10月21日公開）
- ［16］SecurityWeek『Supermarket Refrigeration Attack Widens to Copeland, Dixell Controllers』（2026年10月15日公開）
- ［17］Infosecurity Magazine『Major French Supermarket Chains Hit by Cyber-Attack, Food Stock Impacted』（2026年10月12日公開）
- ［18］TIME『'Unprecedented' Cyberattack Targets French Supermarket Fridges』（2026年10月13日公開）
- ［19］Le Monde Informatique『Frigos de supermarchés piratés : l'Anssi pointe des failles de sécurité élémentaires』（2026年10月22日公開）
- ［20］Solutions Numériques『Frigos de supermarchés sabotés : les cyberattaques qui vident les rayons』（2026年10月13日公開）
- ［21］LeMagIT『Cyberattaque Danfoss : quand la distribution alimentaire découvre l'hygiène numérique』（2026年10月12日公開）
- ［22］Batiactu『Une cyberattaque massive touche des équipements frigorifiques, un industriel réagit』（2026年10月12日公開）
更新記録
- 2026年10月26日：公開した。