インターネット接続型の冷却設備で被害が発生
欧州の小売業で利用されている冷蔵・冷凍設備の遠隔管理機能が、サイバーセキュリティー上の問題に直面している。11月2日には複数の国で設備の制御に異常が生じ、食品の保管環境が維持できなくなった。
今回の障害は、ベルギーやスウェーデンをはじめとする7カ国で確認された。影響を受けたのは大手スーパーマーケットだけではなく、精肉店や比較的小規模な食品販売店も含まれる。
欧州では冷却機器をネットワークにつなぎ、運転状況の確認や保守管理を遠隔で行う方式が普及している。こうした設備の一部が不正な操作を受け、温度設定や冷却機能に問題が生じた。
霜取り機能の作動が庫内温度の急上昇につながる
ベルギーの冷却設備関連企業サブコベルは、被害を受けた機器の内部で霜取り運転への切り替えが発生したことを明らかにした。この動作によって庫内の温度が上がり、保存されていた食品が販売できない状態となった。
スウェーデン南部ショーボのスーパーでは、冷蔵・冷凍設備の温度が50度に設定されていた。店舗は営業を一時停止し、被害を受けた商品を取り除いた後に営業を再開している。
設備メーカー側は、問題の発生した機器をネットワークから隔離する対応を進めた。サブコベルでは夜間を通じて接続の遮断作業を実施し、影響の拡大を防ぐ措置を取った。
今回の攻撃については、実行者の身元や所属組織などは明らかになっていない。
10月のフランスで発生した攻撃との類似点
欧州では今回に先立ち、10月にフランス国内の食品スーパー数百店舗で冷蔵・冷凍設備が攻撃を受けていた。この際にも冷却機能の制御が妨害され、大量の食品が販売できなくなった。
フランスで発生した被害額は、処分された食品だけで数百万ユーロに達したとされる。今回の設備異常についても、同様の仕組みが利用されたと考えられている。
サブコベルは、フランスでの事件以降、顧客が使用する設備の保護対策を進めてきた。しかし、ソフトウェアの修正のみでは十分な対応ができず、機器の物理的な変更も必要だと説明している。
同社は安全性を確保した通信環境で設備を管理する方法を挙げており、フランスでの事件後、多くの顧客が管理方式を変更したという。
複数メーカーの温度制御技術を使用した設備に影響
今回の問題では、異なる企業の技術を使用した冷却設備で被害が報告された。サブコベルが関係するベルギーの店舗に加え、デンマークのダンフォスが提供する温度制御技術を採用した設備にも異常が確認されている。
オランダでは、少なくとも17社が利用する冷却システムが夜間に攻撃を受けた。影響はスーパーに限らず、精肉店などにも及んだ。
エストニアではセルヴェルの店舗を含む複数の事業者に問題が発生した。フィンランドでもKストアの一部で設備の故障が確認されている。
アイルランドのスーパーヴァリューでは13店舗が影響を受けたものの、対象となったのは特定の型式の冷蔵設備だった。店舗によって被害の範囲が異なる状況となっている。
欧州各国と米国で冷却設備への攻撃を調査
ベルギーとスウェーデンの国家サイバーセキュリティー機関は、国内で発生した設備障害の状況を把握するため、監視を継続している。
英国の国家サイバーセキュリティーセンターも、海外の関係機関や業界と協力し、事態の詳細を確認する取り組みを進めている。
一方、米国では8月に複数の軍事基地で冷蔵設備の故障が発生していた。米国当局はフランス側とも連携し、これらの障害と欧州で起きた事件に関連があるか調査している。
今回の事態では、食品の保存設備が不正操作によって直接的な損害を受けた。各国の調査と並行して、設備を運用する企業による通信環境の見直しや機器の保護対策が進められている。