要点
- 米国の CISA・FBI など5つの機関が、スーパーや冷蔵倉庫の温度を管理する装置を狙った攻撃が「世界規模で」起きていると、2026年11月5日（日本時間6日）に警告した。
- 乗っ取られると、冷蔵庫や冷凍庫が温められたり、霜取りを続けさせられたりする。食品や医薬品がだめになるうえ、火災の危険もある。画面に今の温度が出なくなり、異常に気づけなくなることもある。
- 欧州では Danfoss などの装置が実際に狙われた。ネットに直接つながったままの古い装置は特に危ない。日本の店舗や倉庫でも、つながり方を今すぐ確かめたい。
何が起きたか
CISA（米国のサイバーセキュリティの役所）は2026年11月5日、FBI・保健福祉省（HHS）・農務省（USDA）・運輸省（DOT）と共同でファクトシートを出した。
ファクトシートによると、攻撃者は世界中で、食料品店や冷蔵倉庫の「電子温度コントローラー」と「商用冷凍コントローラー」を狙っている。どちらも、冷蔵ケースや冷凍庫の温度を見張り、遠くから設定を変えるための装置だ。狙われやすいのは、更新が当たっていない装置と、インターネットに直接つながっている装置だとしている。
ファクトシートが心配している被害は、大きく分けて3つある。
- 見張れなくなる。 画面に今の温度が出なくなり、担当者が異常に気づけない
- 中身がだめになる。 設定を変えられて温められ続けたり、霜取りを止められなくなったりする。在庫がまとめて使えなくなる。きちんと保存されなかった品が店に並び、食べた人の健康を損なうおそれもある
- 設備が傷む。 装置の寿命が縮み、火事の危険もある
CISA の Chris Butera 氏は発表の中で、冷蔵と監視のシステムに頼るすべての組織は、自分が狙われうると考えるべきだと述べた。
米国のファクトシートは、製品名もメーカー名も挙げていない。欠陥の番号（CVE）もない。どこで何件の被害が出たのかや、攻撃者が誰なのかも書いていない。
欧州の件とのつながり
製品名が出ているのは、フランスの CERT-FR（国のセキュリティ機関 ANSSI の窓口）の警報 CERTFR-2026-ALE-012 だ。2026年10月12日に出た警報で、冷凍設備の遠隔コントローラーが「多数」乗っ取られたことを把握したとしている。翌13日の改訂で、狙われた装置が書き足された。今の警報で対象とされているのは次の4つだ。
- Danfoss AK-SM シリーズ
- Danfoss AK-SC シリーズ
- Copeland xweb
- Dixell xweb
Danfoss は業界誌 Cooling Post などの取材に答えている。それによると、被害の中心は、すでにサポートが終わった古い機種だった。AK-SC 355 は2016年に、AK-SM 800 は2021年に、販売とサポートを終えている。今も売っている AK-SM 800A でも、ファームウェア（装置の中のソフト）を古いままにしていたものは被害にあった。Copeland は報道に対し、問題は販売を終えた古い世代の装置の欠陥だと説明した。
11月初めには、ベルギー・オランダ・スウェーデンなど欧州の各国のスーパーでも、同じような被害が報じられた。フランスの血液の公的機関 EFS は、冷凍設備を管理する委託先がサイバー攻撃を受け、3つの拠点の冷蔵室の監視システムに異常が出たと明らかにした。温度と霜取りの設定がとても高い値に変えられたが、保管していた血液製剤への影響はなかったという。米国の今回の警告は、この流れの中で出た。ただし、ファクトシートは欧州の件に直接は触れていない。
日本の利用者への影響
日本の店舗や倉庫で被害が出ているかどうかは、今回の資料からは分からない。
CISA は Danfoss AK-SM 8xxA が使われている地域を「世界中」としている。日本で何台使われているかは分からない。ただ、今回の問題は特定の製品だけの話ではない。「温度の管理画面がネットに直接さらされている」「最初のパスワードのまま」という状態なら、メーカーを問わず狙われうる。スーパー、コンビニ、物流倉庫、病院や薬局の薬の冷蔵庫も当てはまりうる。
今すぐやること
- 冷蔵・冷凍の管理装置を書き出す。 メーカー名と型番、だれが保守しているかを確かめる。店の保守は冷凍機の業者に任せていることが多い。業者に「遠くから見るのにどうつないでいるか」を聞く。
- ネットに直接さらされていないかを確かめる。 会社の外のネット（スマホのモバイル回線など）から、管理画面の住所を開いてみる。開けてしまうなら、さらされている。CISA と CERT-FR は、どちらも、まずネットへの公開をやめることを挙げている。遠くから見る仕組みを戻すときは、VPN（社外から安全につなぐ専用の通り道）か守られたネットワークを通す形に限るよう、CERT-FR は勧めている。
- 最初のパスワードを変える。 出荷時のままのパスワードを使っていないか確かめる。オランダで被害にあった装置について、Danfoss は、守られたネットワークになく、最初のパスワードのままだったと話したと報じられている。
- 古い装置はファームウェアを更新するか、取り替える。 販売とサポートが終わった機種は、欠陥が直らない。CERT-FR は、こうした装置をネットにつないだままにすると「乗っ取られる可能性が非常に高い」と警告している。
- 温度の警報を別の仕組みでも持つ。 管理画面の表示だけに頼らない。EFS では、監視と警報の仕組みが異常をすぐに見つけた。温度の上限・下限を決めて、外れたら知らせる仕組みを確かめる。
背景
冷凍の制御装置は、省エネや遠くからの見張りのためにネットにつながれてきた。保守業者がすぐに見られるよう、管理画面を外から開けるようにしている例もある。
欠陥も前から知られていた。CISA は2025年5月と8月に、Danfoss AK-SM 8xxA の欠陥を3つ公表している（ICSA-25-140-03）。見つけたのは Claroty の研究者だ。ただし、欧州の攻撃にこれらの欠陥が使われたかどうかは、CERT-FR も Danfoss も明らかにしていない。
工場やインフラの制御システムがネットにさらされて狙われる話は、ここ数年くり返されている。今回の件は、その被害が店頭の食品や医療の保管という、身近なところにまで及んだ例だ。
技術者向けの詳細
- 米国のファクトシート（2026-11-05、CISA・FBI・HHS・USDA・DOT）: 想定する悪用の道筋は、認証の回避・任意のコードの注入・弱い設定の3つ。対策は CPG（分野をまたぐセキュリティ目標）の番号つきで示されている。まとめると次のとおり。
- つなぎ方: 管理パネルは外に出さない（3.S）。遠隔で使うなら最新のファイアウォールなどを通す。OT（設備を動かすシステム）は VLAN で業務網から切り分け（3.I）、設定を変えられる端末と IP を絞る（3.H）
- ログイン: 出荷時のパスワードはやめる。可能ならフィッシングに強い多要素認証に（3.A/3.B/3.F）
- 機器: ファームウェアを最新にし、サポート切れの機器は洗い出して入れ替える（2.A/2.B）
- 備え: ログを残す。ログが取れない OT 機器は通信の記録で補う（3.Q）。バックアップはオフラインと社外に置き、復元を試す（3.O）。下流の機器にも設定値の上限と、外れたときの警報を設ける
- CERT-FR CERTFR-2026-ALE-012（10/12 初版、10/13 対象を追加、10/16 推奨を更新）
- どちらの場合も最初の手順はネットからの切り離し。乗っ取られていなくても、公開 IP を持つ関連機器はすべて対象。業者へのデータ送信を止める前に、保険の条件を確かめる
- 乗っ取られていない場合: 霜取りの予定表まで含めて設定全体を点検する。Danfoss の勧めは、ファームウェアの更新、セキュリティレベル「Strict」、初期パスワードの変更
- 乗っ取られた場合: Danfoss 機は再起動し、直らなければ Reset Factory をかけ、設定し直す。サポートが終わった機器は、初期化しても欠陥は残り、また乗っ取られるおそれが高いと CERT-FR は警告している
- 使い始めに戻すときは、VPN か守られたネットワーク経由に限る
- 確かめ方の手順や侵入の痕跡（IoC）は公表されていない
- Dixell は XWEB の安全な使い方（フランス語）を出している
- Danfoss AK-SM 8xxA の欠陥（ICSA-25-140-03、2025-05-20 公開、2025-08-26 更新）
- CVE-2025-41450（認証の不備）: R4.2 より前が対象、R4.2 で修正
- CVE-2025-41451（コマンドインジェクション）: 4.3.1 より前が対象、4.3.1 で修正
- CVE-2025-41452（システム設定を外から操られる）: 4.3.1 より前が対象、4.3.1 で修正
- 公表の時点で悪用の報告はなかった。欧州の攻撃との関係は公表されていない
- 自社がさらされていないかの確かめ方
- 自社のグローバル IP の範囲を、Shodan や Censys で検索する。冷凍コントローラーの管理画面（HTTP/HTTPS）が出ていないかを見る。検索するのは自社の範囲だけにする
- ルーターやファイアウォールに、制御装置へのポート転送の設定が残っていないか確かめる
- 保守業者のリモート保守の経路（VPN か、直接か）を書面で確かめる
- 連絡先: 米国では CISA・FBI IC3・HHS が報告を受け付けている。日本では JPCERT/CC へ報告できる
