700超の拠点で温度が上がり、火災も起きた
フランス外務省によると、攻撃は10月11日夜から12日未明にかけて実行された。攻撃者はスーパーマーケットなどに設置された冷凍・冷蔵設備のコントローラーを狙った。政府発表では対象は700拠点を超え、設備の損傷、火災、数千万ユーロに及ぶ食品の廃棄が発生した。[1]
AP通信は、温度が約6時間にわたり50度まで上昇し、店舗が生鮮・冷凍食品を廃棄したと報じた。フランス国内のスーパーマーケット約1万店のうち、およそ700店が影響を受けたという。[2]
ここで被害を大きくしたのは、冷凍機そのものの破壊ではない。温度や霜取りを管理するコントローラーの設定が遠隔で変えられ、正常に見える設備が商品を守れない状態へ移った。閉店中の数時間でも、食品の安全基準を外れれば棚の商品は販売できない。
フランス政府はイランの部隊へ帰属した
フランス政府は捜査と技術分析を踏まえ、攻撃をイラン革命防衛隊に関係するサイバー部隊「Shahid Kaveh」に帰属した。フランス領内で破壊だけを目的にした初の大規模サイバー作戦だと位置づけ、イラン大使の召喚とEUでの追加制裁提案を発表した。[1]
この発表はサイバー攻撃への政治的な責任追及を一段進める。フランスは技術報告だけで終えず、外交ルートで抗議し、EU加盟国へ制裁を提案する方針まで示した。サプライチェーンを持つ企業にとっても、設備障害が外交・制裁リスクへ接続したことになる。
帰属は、攻撃元のIPアドレスを一つ見つけただけでは決まらない。AP通信によると、フランスの捜査当局はペルシャ語の使用、イランにある端末と結びつくIPアドレス、宣伝活動などを調べ、司法捜査を始めた。[2]
一方、イラン側の回答は報道時点で確認されていない。ロイターは政府発表前、フランス当局がイランの国家支援を疑っていると報じると同時に、イラン政府が悪意あるサイバー活動への関与を通常は否定していると伝えていた。[3]
血液保管施設の攻撃は別に捜査中
11月2日には、フランス血液機関（EFS）の3拠点でも冷蔵設備が攻撃された。温度と霜取りのしきい値が高い値へ変更されたが、監視システムが異常を検知し、職員が対応したため、血液製剤や検体への被害はなかった。[4]
小売店の事件と手口は似ているが、フランス政府は血液保管施設への攻撃をイランへ帰属していない。 Axiosも、政府が帰属したのは10月の小売店攻撃であり、11月の別の波には公的な帰属がないと整理している。[5]
この区別は重要だ。同じ設備、似た設定変更、近い時期というだけで、攻撃者が同じとは決められない。記事や社内報告で両事件をまとめるなら、「確認済みの帰属」と「捜査中」を同じ表現で結ばないことが欠かせない。
冷凍設備はOTとして棚卸しが要る
店舗や病院の冷凍設備は、運用技術（OT）の一部である。OTは温度、圧力、ポンプ、モーターなど現場の機器を監視・制御する仕組みを指す。遠隔保守のためにインターネットから接続できると、管理者だけでなく攻撃者にも入口が見える場合がある。
米CISAとEPAは、インターネットへ露出した制御画面について、公開ネットから切り離し、難しい場合は強い認証とアクセス制御を設けるよう勧告している。対象は水道設備だが、温度設定を遠隔変更できる冷凍設備にも同じ確認軸を使える。[6]
古いコントローラーでは多要素認証や詳細なログを後から追加できない場合もある。そのときは、機器を直接公開しないネットワーク分離、VPN経由の接続、接続元の制限、別系統の温度センサーを組み合わせる。交換までの暫定措置と、交換期限を別々に決めることが大切だ。
現場で先に確かめる項目は次の通りだ。
- 冷凍・空調・電源設備の管理画面が外部公開されていないか
- 初期パスワードや共有アカウントが残っていないか
- ベンダーの遠隔保守に多要素認証と接続記録があるか
- 温度設定の変更を別系統の監視で検知できるか
- 廃棄、手動運転、連絡先を含む復旧手順を試しているか
設備台帳に型番だけを並べても足りない。誰がアカウントを管理し、どの会社が遠隔接続し、異常時に誰が止めるのかまで結びつける必要がある。
契約先の保守会社が変わったときは、古い接続権限を残さず、管理者と連絡先も同時に更新する。
物理被害を止めるのは二重の監視だ
今回、店舗では商品廃棄と火災が起きた。一方、EFSでは独立した監視と職員の対応が血液製剤を守った。違いは、攻撃を完全に防げたかではなく、設定変更を早く見つけ、設備の外側から止められたかにある。
ネットワーク対策だけでなく、温度計、警報、現場巡回、手動切り替えを重ねる。攻撃者が管理画面を操作できても、別系統のセンサーまで同時に信じない運用なら被害を小さくできる。冷凍設備を持つ企業に必要なのは、ITと施設管理の共同点検である。
まとめ
- フランスは700を超える小売拠点を狙った10月の冷凍設備攻撃をイランへ帰属し、EU制裁を提案する
- 血液保管施設への11月の攻撃は被害を防げたが、同じ攻撃主体だとは公的に確認されていない
- 冷凍設備はOTとして外部公開、認証、変更記録、独立監視、手動復旧をまとめて点検する必要がある
出典・参考
- フランス欧州・外務省「Déclaration d'attribution à l'Iran de cyberattaques visant la France」（2026年11月9日）原典
- Associated Press「France blames Iran for a cyberattack on supermarket fridges」（2026年11月9日）原典
- Reuters「French officials suspect Iran is behind refrigerator hacks, sources say」（2026年11月9日）原典
- Associated Press「Cyberattack hits French blood bank site but no blood products are compromised」（2026年11月4日）原典
- Axios「France blames Iran for supermarket fridge hacks」（2026年11月10日）原典
- CISA・EPA「Internet-Exposed HMIs Pose Cybersecurity Risks to Water and Wastewater Systems」（2024年12月13日）原典
読者のコメント (0)
コメントを残す