要点
- 2026年11月2日の未明、ベルギー、スウェーデン、アイルランドなど欧州の国々のスーパーで、冷蔵庫と冷凍庫が外から操作されて温度が上がり、食品が捨てられた。
- 10月にフランスの数百の店で起きた同じ種類の攻撃から、およそ3週間で2度目になる。犯行声明は出ていない。
- 狙われたのは、冷蔵設備をネット経由で見守り・操作するための制御機とみられる。古くて修正が出ない機種がネットに直接つながっていたことが、10月の攻撃の弱点とされた。
何が起きたか
現地時間の11月1日（日）深夜から2日（月）の未明（日本時間では2日の朝）にかけて、各地のスーパーで冷蔵・冷凍のケースの温度が上がった。ベルギーで冷凍設備を設置・保守する Sabcobel の CEO、Stephan Moelans 氏によると、冷却器が遠隔で「霜取り」（冷やすのを止めて氷を溶かす動き）に切り替えられていた。小売の各社は、冷凍庫が 50℃ に設定されていたとも話している。
各社が報道機関に話した内容は次のとおり。
- ベルギー: Ahold Delhaize は、「数十の店」の冷蔵設備に影響が出た IT の事故だと話した。Carrefour ベルギーは、約700の店のうち15店で影響は「ごく限られる」と話した。Colruyt Group は、独立した経営者が営む Spar の約5店に影響が出たと話した。Sabcobel は、自社が管理する数百の設備のうち約20台が被害にあったと把握している。
- スウェーデン: ICA は、本部のネットワークの外で動く「少数の店」で起きたと話した。Coop も、中部の数店（報道によって6店または7店）で冷蔵庫と冷凍庫に問題が出たと話した。
- アイルランド: SuperValu を持つ Musgrave は、13の店で「特定の型の冷蔵設備」に限られた事故だと話した。冷蔵・冷凍の品は念のため売り場から下げ、すでに元に戻ったという。アイルランドの国の機関、National Cyber Security Centre が状況を見守っている。
- その他: BleepingComputer は、ルクセンブルク、オランダ（肉屋や近所の店）、エストニアでも被害を数えた。合計で115を超える店になるという。
Moelans 氏は、10月にフランスで使われたのと同じ欠陥が使われたと話した。ソフトの更新だけでは足りず、機器を物理的に直す必要があるとも話している。ただし、今回どの機種のどの欠陥が使われたか、保守業者の経路が使われたかは、当事者からまだ確かめられた形では出ていない。報道では、エストニアの業者が古い Danfoss の設備に入られたと話し、オランダの NOS はベルギーで Copeland の機器が狙われたと報じた。
ベルギーのサイバーセキュリティの機関 CCB の広報担当、Katrien Eggers 氏は The Record に、事故を把握しているが詳しくは話せないと述べた。犯人は「特定できないかもしれない」とも話している。
日本の利用者への影響
日本の店や組織に被害が出たかは分からない。今回の資料は、日本には触れていない。
Danfoss と Copeland（Dixell の名前でも売られている）の制御機は、CISA の advisory によると世界中で使われている。ただ、日本のスーパーや倉庫でどれだけ使われているかは分からない。メーカーが違っても、「冷蔵設備の管理の画面がネットから直接見える」状態なら、同じ種類の危なさがある。
今すぐやること
フランスの CERT-FR（国のサイバー事故の窓口）の勧めをもとにまとめた。
- 店や倉庫の冷蔵設備に、ネットにつながった管理の機器があるかを、保守業者に聞く。 メーカー名と型、遠隔から操作できるかを確かめる。
- 管理の画面がネットから直接見えるなら、すぐ止める。 CERT-FR は、管理の画面をネットにさらすのは「良いやり方に反する」と書いている。遠隔で見守る必要があるなら、VPN（会社と業者の間だけの安全な通り道）を通す。
- 初期のパスワードのままになっていないか、機器のソフトが最新かを確かめる。 メーカーの支えが終わった古い機種なら、取り替えの計画を立てる。
- 霜取りの予定や温度の設定が、勝手に変わっていないかを見る。 夜中に温度が上がったら知らせが来るか、誰が駆けつけるかも決めておく。
- 保険の条件を確かめる。 CERT-FR は、業者へのデータの送信を切る前に、保険の契約の条件を見るよう勧めている。
背景
1度目は10月11日から12日の夜、フランスで起きた。Carrefour、Monoprix、E.Leclerc などの店で、冷蔵・冷凍の温度が上げられた。The Record によると、パリの検察は被害を約700と見ている。
CERT-FR は10月12日に注意喚起を出した。Danfoss の AK-SM と AK-SC の系列、Copeland と Dixell の XWEB で、多くの乗っ取りを把握しているという。Danfoss は AFP に、被害の多くは、ソフトや安全の更新がもう出ない古い機種（AK-SM 800、AK-SC 355）だったと話した。Copeland も、生産が終わった世代の機種の欠陥を認めている。
研究者は前から危なさを伝えていた。Claroty の Team82 は2025年から2026年にかけて、Danfoss と Copeland の制御機の欠陥を報告した。CISA もそれぞれ advisory を出している。ただ、今回の攻撃にこれらの欠陥が使われたかは確かめられていない。
古い機器を直す決まりはまだ無い。EU のサイバーレジリエンス法（つながる製品の安全の決まり）が、製品の寿命に合わせて修正を出すことを求めるのは、2027年12月からになる。
技術者向けの詳細
- CERT-FR CERTFR-2026-ALE-012（10月12日に初出、13日に機種を追加、16日に勧めを改めた）の対象: Danfoss AK-SM 系、AK-SC 系、Copeland xweb、Dixell xweb。CVE の番号は挙げていない。
- CERT-FR の勧め（乗っ取られていない場合）: グローバル IP にさらした機器をネットから外す。設定の全体、特に霜取りの予定を見直す。遠隔の接続は VPN か守られたネットワークだけにする（業者の送信元 IP で絞るのは一時しのぎ）。Danfoss の機器はセキュリティのレベルを Strict にし、初期のパスワードを変える。
- 乗っ取られた場合: ネットから外し、Danfoss の機器は再起動か工場出荷の状態に戻す。設定をやり直してから使う。CERT-FR は、工場出荷に戻すだけでは「また乗っ取られる見込みが高い」と注意している。支えが終わった機器をネットにさらしたままにすると、乗っ取られる見込みがとても高いという。
- Danfoss AK-SM 8xxA（CISA ICSA-25-140-03）: CVE-2025-41450（認証の回避、R4.2 で修正）、CVE-2025-41451・CVE-2025-41452（4.3.1 で修正）。
- Copeland XWEB 300D/500D/500B PRO 1.12.1 以前（CISA ICSA-26-057-10）: 23の CVE。CVE-2026-21718（CVSS 10.0）など。どちらの advisory も、出た時点では悪用の報告はないとしていた。
- 自分の機器がさらされていないかの確かめ方: 自分の組織が持つグローバル IP の範囲を、Shodan や Censys などで、Danfoss StoreView や XWEB の管理の画面が出ていないか調べる。見つかれば外す。
- Dixell は XWEB を安全に使うための勧め（仏語、v1.0、2026年10月）を出している。CERT-FR の注意喚起から読める。