BetaNewsは2026年10月13日(米国時間)、「French supermarket fridge attack hit outdated Danfoss units」において、フランス国内のスーパーマーケット350店超で、冷蔵・冷凍設備を管理する制御装置がサイバー攻撃を受け、食品の大量廃棄や火災が発生したと報じた。

デンマークの冷凍・冷蔵機器メーカー「Danfoss」は10月12日(現地時間)、被害を受けた装置の多くがサポート終了(EOL: End of Life)に達した製品で、同社が修正プログラムを提供していない機種だったと報道機関に説明した。被害対象には、古いファームウェアを使用していた装置も含まれていたという。

冷蔵庫内が50度に上昇、食品の大量廃棄が発生

BetaNewsによると、攻撃は10月11日夜から12日未明にかけて発生し、店舗の冷蔵庫や冷凍庫の温度が最高50度まで上昇した。保存していた食料品は品質を保てなくなり、大量廃棄につながった。パリ検察当局は、被害の中に火災も含まれていると説明している。

パリの検察当局は、複数の大手食品スーパーを対象に、ネットワーク接続された冷却設備への広範な攻撃があったと説明した。フランスのSebastien Lecornu首相は、国家情報システム庁(ANSSI)に調査を指示。首相府関係者によると、同庁はDanfoss製ソフトウェアの欠陥を特定したという。

ANSSI傘下のインシデント対応組織「CERT-FR(Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques)」は10月12日、冷蔵施設の遠隔制御装置を標的としたセキュリティインシデントが発生し、多数の装置が侵害されたとする警告を公表した。影響を受けたシステムは次のとおり。

  • Copeland xweb
  • Danfoss AK-SCシリーズ
  • Danfoss AK-SMシリーズ
  • Dixell xweb

同組織は、制御装置の管理画面をインターネットに直接公開しないよう勧告。安全なVPNなどを経由したアクセスへの切り替えや、ファームウェアの更新を求めている。これら対策を適用せず装置のリセットだけで済ませた場合、一時的に影響を回避できても再び侵害されると警告した。

小売各社の発表によると、Carrefourでは80店舗、Intermarcheを展開するLes Mousquetairesでは約150店舗が被害を受けた。後者では庫内温度が50度に達し、6時間にわたって続いたとされる。約490店舗をフランスで運営するMonoprixも、店舗網の5%が被害を受けたと明らかにした。スーパーマーケットチェーン「Coopérative U」も攻撃対象になったと認めたが、被害店舗数は公表していない。

サポート終了の制御装置が標的に、既知の脆弱性との関連は不明

Danfossの制御装置については、攻撃以前から脆弱性が指摘されていた。これはセキュリティ企業「Claroty」の研究チームTeam82が2026年8月9日に公表したレポートから確認できる。

レポートによると、装置には3つの重大な脆弱性が存在した。具体的には認証を回避できる脆弱性(CVE-2025-41450)、リモートコード実行(RCE: Remote Code Execution)の脆弱性(CVE-2025-41451)、任意のNginx設定ディレクティブを注入できる脆弱性(CVE-2025-41452)とされる。

Danfossは2025年8月1日付のセキュリティ勧告で2件の脆弱性を修正し、ファームウェアバージョン4.3.1を提供していた。影響を受ける旧型機としてAK-SM 800とAK-SC 355も挙げられている。

ただし、今回の攻撃が特定の脆弱性を悪用したかどうかは、CERT-FRの警告では明らかにされていない。また、侵入経路や攻撃者の身元も判明していない。

今回の攻撃では、サポートが終了した制御装置や古いファームウェアを使用した機器が被害を受けた。攻撃に悪用された脆弱性や侵入経路は明らかになっていないものの、インターネットに接続された設備の管理体制が改めて問われる事態となっている。