欧州のスーパー冷凍庫が再びハッキング：ダンフォス制御装置が50℃に設定され6カ国に波及

11月2日の未明、欧州各地のスーパーの店長たちは同じアラームで目を覚ました。冷凍庫が冷えるどころか、温まっていたのだ。午前2時半ごろ、ベルギーのエークロにあるデレーズの店長は暗闇の中を店まで車を走らせ、50℃に設定されたシステムをリセットした。スウェーデン南部のシェーボでは、ICAクヴァンタムの店員が出勤すると冷凍庫に熱風が吹き込み、どうしても止められず、店は月曜午前中休業せざるを得なかった。夜が明けるころには、ベルギー、ルクセンブルク、スウェーデン、アイルランド、エストニア、オランダで同じ被害が報告され、フィンランドでも同様の不具合が調査された。停電でも故障した温度調節器でもない。これは3週間で2度目となる同じ攻撃であり、それを止めるはずの警告はすでに出されていた。

第1波は10月11日から12日にかけての夜、フランスで起きた。攻撃者は最大700のスーパーや個人商店の冷凍設備を遠隔操作し、約6時間にわたって連続除霜状態にした。インテルマルシェは150〜200店舗、コーペラティブUは約80店舗、カルフールは約80店舗、モノプリは約30店舗が被害を受けたと発表し、パリ検察は火災も含む被害を報告した。インテルマルシェの最高経営責任者は、フランス全土で1日あたり数千万ユーロの損失が出たと語った。10月12日、フランス政府のコンピュータ緊急対応チームCERT-FRは、対象となる制御装置を使うすべての事業者に対し、インターネットから切り離すかアクセスを制限するよう求めた。制御装置のメーカーであるデンマークのダンフォスも10月13日に顧客へ独自の警告を送った。それから3週間後、インターネットから到達可能なままだった制御装置が少なくともさらに6カ国で攻撃され、オランダのダンフォス広報担当者は、店舗が警告に従っていれば攻撃は防げたはずだと述べた。

仕組みは気恥ずかしいほど単純で、それこそが繰り返し成功する理由だ。被害を受けた各店舗の冷凍設備は、1台の中央制御装置で動いている。1枚のパネルがすべてのショーケースと冷蔵室の設定温度を握り、除霜サイクルを管理し、業者が遠隔で調整できるウェブ画面を提供する。除霜は通常、氷を取り除くために蒸発器のコイルを短時間加熱するものだ。侵入者はそれをオンにしたまま放置し、設定を最大50℃にしたため、食品を守るはずのヒーターが陳列ケースを温めてしまった。フランスのセキュリティ企業セコイアのアナリストによれば、攻撃者は制御装置自体にマルウェアを仕掛けた形跡がなく、捜査の手がかりは少ないという。ダンフォスが挙げた機種AK-SM 800とAK-SC 355は、フランスで狙われたものと同じだ。ダンフォスはAK-SM 800を2021年5月に製造終了とし、AK-SC 355を2016年に段階的に廃止しており、どちらも廃止後にセキュリティ更新を受けていない。オランダでは、攻撃を受けた設備の一部が保護されたネットワークに接続されておらず、初期パスワードのままだったとダンフォスは述べている。

第2波が第1波より見過ごしにくいのは、被害の分布だ。大手チェーンはおおむね持ちこたえた。ベルギーのカルフールは700超の店舗のうち15店舗が被害を受けたがすべて営業を続け、スウェーデンのコープは800店舗のうち7店舗が被害を受けたと述べた。被害はシステムの最も薄い部分に集中した。フランチャイズ店、チェーンの中央ネットワーク外の店舗、小さな精肉店や地域の商店だ。ICAは、被害を受けたのは外部業者を使い中央ネットワークの外で接続している少数の店舗だと述べた。フィンランドの不具合も、ケスコ・チェーンの中央セキュリティ監視の外にある設備で起きた。ベルギーのある設置業者は、ソフトウェア更新だけでは脆弱性は塞げないと述べた。設備には費用のかかる物理的な改修が必要だからだ。最も単純な対策、つまり制御装置を安全な接続経由で管理することは、小規模事業者が最も遅れて取り組む一歩であり、彼らはそれぞれ異なる業者と予算を抱えている。

どちらの波についても犯行声明はなく、身代金の要求もなく、当局による帰属の発表もない。その不在自体が物語の一部だ。センチネルワンの研究者は、この種の攻撃は通常、恐喝、政治的動機、国家による作戦と結びついており、金銭的要求がないことは破壊工作を示唆すると指摘している。欧州委員会の農業・食品担当委員クリストフ・ハンセンは、第2波をEUの食料供給を混乱させ消費者の信頼を損なおうとする意図的な試みと呼びつつ、欧州の食料安全保障は現時点では脅かされていないと付け加えた。ベルギー連邦検察は刑事捜査を開始した。食料安全保障についての安心材料は大陸規模では正しいが、実際に重要な規模ではほとんど的外れだ。アントウェルペン南方のある店主は冷蔵庫が18℃になっているのを見つけて警察に通報し、あるデレーズ運営者は逸失利益を除いて10万ユーロ以上の損害を見積もった。

私にはこれが、見えるところに隠れたインフラの話に見える。コールドチェーンは誰もが頼りにしながら、壊れるまで誰も考えないシステムのひとつであり、数千の店舗では、公開インターネットに面したウェブ画面を持つ退役ハードウェアによって動かされている。対策は特別なものではない。制御装置を切り離し、ファイアウォールやVPNの内側に置き、メーカーが何年も前にサポートを終えたハードウェアを交換することだ。しかし地味な対策には支払う人と責任を持つ人が必要であり、フランチャイズ化され断片化した小売業では、その「誰か」がたいてい誰でもない特定の誰かではない。第1波は警告だった。政府の対応チームによる公開警告の3週間後に届いた第2波は、警告が単一の所有者のいないシステムをどう伝わるか、あるいは伝わらないかを示す証拠だ。私自身の見立てでは、これはまだ終わっていない。インターネットから見える公開状態のシステムが数千も残り、同じ手法がすでに2度成功している以上、第2波がついに第1波では促せなかった切断を強制しない限り、2027年3月末までに少なくとももう1波、公開される攻撃があるだろう。