フランスのスーパー冷蔵庫にサイバー攻撃。ダンフォス製IoT機器が狙われた理由と更新判断の難しさ

フランスのスーパー数百店舗で、冷蔵設備がサイバー攻撃を受けました。庫内の温度は最高50度まで上がり、食品が大量廃棄になったと報じられています。CEOセオさんは、前例のないサイバー攻撃だとしてこの件を深掘りします。

CEOセオさんによると、この攻撃は冷蔵庫そのものを壊したわけではありません。毎晩普通に動いている霜取りの機能を、止まらないようにしたという手口です。霜取り運転が続いたことで、庫内が50度の状態が6時間に及んだ店舗もあったといいます。

CEOセオさんは、これまでのサイバー攻撃との違いを強調します。情報を盗んだりデータを悪用したりする攻撃が多いなかで、今回は食べ物そのものがなくなり、食料不足につながる種類の被害です。

CEOセオさんは、今回の攻撃を「悪質ないたずらに近い」とも表現しています。被害は2026年10月11日の夜から12日にかけてフランス全土で起き、生鮮食品や冷凍食品が廃棄されました。一部の店舗では火災も起きたといいます。

一部の店舗では、冷蔵設備の設定温度が2度から500度に変えられていたといいます。制御機器は、デンマークのダンフォスという会社の製品でした。

影響を受けたダンフォスの機器は、大半が旧型か、ファームウェアファームウェア ── 機器の内部に組み込まれ、ハードウェアを制御するソフトウェア。更新することで不具合やセキュリティ上の弱点が修正されますが更新されていない現行製品でした。2021年にサポートが終了したものや、2016年に販売を終了したものも含まれ、いずれもセキュリティやソフトの更新がない状態だったと説明されています。

事件を受けて、パリ警察が捜査を始め、フランスの首相も国家サイバー機関に調査を指示しました。ダンフォスはさまざまな国に製品を提供しているため、CEOセオさんはフランス以外の国も影響を受ける可能性があると指摘します。今回の事件には、欧州当局も連携して取り組んでいるそうです。

ただし、冷蔵設備を攻撃した犯人、侵入経路、どの脆弱性が使われたかはまだわかっていません。犯行声明も出ていないといいます。

店舗の冷蔵ケースは制御パネルで一括管理され、インターネット経由で運用されていました。家庭の冷蔵庫はまだIoTIoT ── Internet of Thingsの略。家電や設備などのモノをインターネットにつなぎ、遠隔操作やデータ収集をできるようにする仕組みのことです化が進んでいないイメージがありますが、業務用の冷蔵設備はすでにネットにつながっていたわけです。

スーパーは大型の冷蔵冷凍機器を一括で使うため、遠隔保守にはかなりのコストがかかります。そのため、遠隔保守は業者に依頼するのが一般的だとCEOセオさんは説明します。CEOセオさんは、ネット接続に依存したことで、攻撃されると機能が働かなくなるリスクも生まれると話します。

ダンフォスは、制御機器を売り、新しい世代の機器への買い替えを通じてビジネスを展開している会社です。ダンフォス側は、古い機器を新しいものに変えるよう以前から伝えていたと説明しています。

CEOセオさんが難しいと見るのは、スーパー側の買い替え判断です。冷蔵庫そのものは壊れておらず、意外と長く使えます。一方で、メーカーの保守が終わると、ソフトウェアの脆弱性は増していきます。

CEOセオさんは、家庭の洗濯機にたとえます。洗濯機を5年で買い替える人もいれば、20年使う人もいます。ハードだけの問題なら、どちらでも困りません。けれど、通信する機器になると、使用年数とセキュリティの問題が結びついてしまいます。

ネットにつながらないオンプレオンプレ ── オンプレミスの略。機器やシステムを外部のネットワークに頼らず、自社の敷地内や閉じた環境で運用する形態のことですの機器であれば、セキュリティの問題は起きないのかもしれません。ただ、外出中に操作できるといったIoT家電の利便性は、通信しているからこそ得られるものです。お掃除ロボットを外から動かせるのも、通信しているからです。

CEOセオさんは、通信する機器のサポート期間が終わると、メーカーが修正プログラムを出さなくなると説明します。その結果、脆弱性の穴がどんどん開いていくというのが、通信する機器の宿命です。

CEOセオさんは、今はAIを使えばサイバー攻撃が簡単にできてしまうと指摘します。そのため、愉快犯のような犯行も起こせるようになったと見ています。詐欺集団やハッカー集団がAIで高度なセキュリティホールを見つけて攻撃する例も増えていると、CEOセオさんは考えています。

CEOセオさんは、お金を要求する攻撃と比べて、生鮮食品を腐らせる攻撃は質が違うと話します。今回の攻撃がダンフォス社を狙ったものなのかもわからず、難しい事件だとしています。

今回の被害店舗の数について、CEOセオさんは、だいたい500店舗ぐらいと言われていると紹介します。一方で、BBCの報道では、フランス国内にある1万5000店舗のスーパーのうち、被害は400店舗弱ぐらいだとされています。

BBCの数字で見ると、フランス国内のスーパー全体に占める被害店舗の割合は約3%弱、およそ40店に1店舗です。CEOセオさんは決して少ない量ではなく、かなりばらまいた攻撃だったと見ています。

損失は、1日に数千万ユーロ規模だったと言われています。日本円にすると数十億円の被害が、一夜にして起きた計算です。店舗単位では、アルザス地方の2店舗で約4800万円の被害が出たとも報じられています。

CEOセオさんは、薄利多売のスーパーにとって、今回の純損失は非常に大きいと指摘します。保険会社がこの種の店舗被害をカバーしない可能性も検討されており、スーパー側の痛手はさらに大きくなりそうです。

攻撃前の調査では、管理画面がネットから見える機器がすでに2765台あったそうです。このうちどれだけが更新されていたかが問題で、更新されていれば被害はなかったと考えられます。

メーカーであるダンフォスの体力について、CEOセオさんは業績の数字を紹介します。ダンフォスの2025年の売上は1兆6680億、EBITAEBITA ── 利払い・税金・のれん償却前の利益。本業の稼ぐ力を見るための指標の一つですは2150億という優良企業です。

ダンフォスの2026年上期の売上はすでに9290億で、成長率は15%です。冷蔵庫のように冷やす事業を担う冷熱部門は、2026年上期に3190億、成長率18%と、会社全体のビジネスを牽引しています。

ダンフォスの冷熱部門が伸びている理由は、データセンターデータセンター ── サーバーやネットワーク機器を集中して設置・運用する施設。大量の熱が出るため、冷却設備が欠かせませんの冷却需要が追い風になっているためです。その好調な冷熱部門の足を、今回は過去の製品が引っ張った形になったかもしれないと、CEOセオさんは見ています。

CEOセオさんは、今後ダンフォスのソフトウェア面への追及が強まるだろうと話します。そのうえで、一番難しいのは「設備そのものは使えるのに、ソフトウェアだけがダメになっている」パターンだと指摘します。

CEOセオさんによれば、冷蔵設備はこれまで狙われると思われていなかった領域です。そうした領域が、AIによって攻撃される可能性が増えているのかもしれないと、CEOセオさんは警戒を示しています。

CEOセオさんによると、今回の冷蔵設備の問題はどうやら一社の欠陥ではないようです。ほかの会社の制御装置でも同じような弱点が見つかっているそうで、業界全体の構造の問題かもしれないと語っています。

CEOセオさんは、日本でネットにつながった冷却設備がどのくらいあるかは調べきれなかったとしています。ただ、海外ではまあまあ使われているようで、対策には設備投資のお金もかかることになると話します。

CEOセオさんは、食料供給への攻撃によって、インフレがさらに加速するなど大きな影響が出る可能性もあると指摘します。EUの農業・食料担当の委員は「ついに食料の武器化が現実になった」と発言しています。

一方で、被害の中心は、サポートが切れた製品や更新されていない機器でした。CEOセオさんは、冷蔵設備を全く守れなかったわけではないとも話します。

2765台もの機器がネットにさらされていたことを考えると、もう少しセキュリティを強める必要はあったのかもしれません。冷蔵設備は守ることの優先度が低い領域でしたが、CEOセオさんは、もはや優先度の低さは関係ない状況になったと強調します。

EUのサイバーレジリエンス法では、2026年9月11日から、実際に悪用された脆弱性がわかった場合、メーカーに24時間以内の早期報告を義務付けています。今回の冷蔵設備への攻撃でも、メーカーには脆弱性を報告する義務があるわけです。

セキュリティの更新期限は、原則5年と言われているそうです。CEOセオさんは、5年はかなり短いと感じています。冷蔵庫や洗濯機を5年で買い替える人はほとんどおらず、店舗の冷蔵冷凍のような大型設備ならなおさら長く使うからです。

店舗の冷蔵設備を何年使えるのかは、まだ要調査だとCEOセオさんは断っています。冷蔵設備の更新期限はもう少し長い可能性もあるとしています。

CEOセオさんは、前日の配信で取り上げたガソリンスタンドの「40年問題」にも触れます。ガソリンスタンドは40年経つと、設備の清掃や溶接などで投資がかさむという話でした。冷蔵庫ではそれが何年なのかという問題も、今後出てくるというわけです。

霜取り機能は冷蔵設備に絶対必要な、ごく普通の機能です。別の研究では、表示を正常に見せたまま冷却を操作できる弱点も指摘されているそうです。

CEOセオさんは、冷蔵設備のソフトウェアには、そこまで高いセキュリティが求められていなかったのかもしれないと考えています。

今回の冷蔵設備を攻撃した人物について、CEOセオさんは、本当に愉快犯なのかもしれないと話します。一方で、AIが人間の予測できない動きをするという実験が、AnthropicAnthropic ── AIアシスタントのClaudeを開発するアメリカのAI企業です。AIの安全性に関する研究を発表していることで知られていますなどから出ていることにも触れます。

そのため、AIの誤作動で今回の攻撃が起きたのではないか、という陰謀論的な想像もしてしまうと、CEOセオさんは冗談めかして語ります。AIの話は、また別の機会にしたいとしています。

CEOセオさんは、過去の似た事例も紹介します。いずれも、今回の冷蔵設備への攻撃とは性質が異なっているといいます。

2013年の米ターゲットの事例は、情報を盗むことが目的の犯罪でした。一方で、今回のフランスのスーパーの事例は、食物を腐らせて壊す攻撃です。CEOセオさんは、ここに攻撃の質の違いを見ています。

2023年の米国の水道施設の事例も、高度な技術で破られたわけではありませんでした。セキュリティに対する考え方の甘さを突かれた攻撃でした。

CEOセオさんは、ネットにつながるあらゆるものについて、セキュリティをハイレベルに考える必要があると締めくくります。身の引き締まる状況は、これからも続きそうです。

まとめ

フランスのスーパーで起きた冷蔵設備へのサイバー攻撃は、霜取りという普通の機能を悪用し、食料そのものを狙った前例のない事件でした。壊れていない設備を、ソフトウェアのサポート切れを理由にいつ買い替えるのか。ネットにつながる設備を持つ企業にとって、避けられない経営判断が浮かび上がっています。

• 攻撃は冷蔵庫を壊さず、霜取り運転を止まらなくすることで庫内を最高50度にし、食品を大量廃棄させた
• 被害機器の多くは、サポートが終了した旧型や、ファームウェアが更新されていない製品だった
• 設備そのものは使えるのにソフトウェアだけが古くなるため、小売り側にとって買い替えの判断は難しい
• 情報を盗む攻撃から食料を壊す攻撃へと性質が変わり、「食料の武器化」が懸念されている
• AIで攻撃が容易になった今、ネットにつながるあらゆる機器でセキュリティを高く考える必要がある