タイトル
米政府がコールドチェーン攻撃に緊急警告──冷凍庫を「ヒーター」に変えるOTサイバー攻撃の脅威
このエピソードで登場するキーワードを説明します。
CISA (Cybersecurity and Infrastructure Security Agency): 米国土安全保障省傘下のサイバーセキュリティ・社会基盤安全保障庁。重要インフラの防衛を担う。
HHS (Department of Health and Human Services): 米国保健福祉省。医療や公衆衛生、医薬品サプライチェーンの管轄機関として今回の共同警告に参画した。
OT (Operational Technology): 工場やプラント、商業施設などの物理的な設備や機器を監視・制御するためのハードウェアおよびソフトウェア技術。
PLC (Programmable Logic Controller): 産業用機械や商業用冷凍設備などの制御に使われる小型コンピュータ。温度管理や霜取りサイクルの自動制御を担う。
EFS (Établissement français du sang): フランスの国立血液事業機関。2026年11月上旬に血液製剤保管施設の冷凍設備がサイバー攻撃の標的となった。
それでは解説に入ります。
米国時間の2026年11月5日、CISA、連邦捜査局、そしてHHSの3機関は、食品や医薬品を保管する業務用冷蔵・冷凍システムを標的としたサイバー攻撃が相次いでいるとして、共同で緊急の注意喚起を発表しました。スーパーマーケットや低温物流倉庫、医療施設などで使われている温度制御コントローラーの脆弱性が悪用されており、サプライチェーンや公衆衛生に深刻な影響を及ぼす恐れがあるとして、機器をインターネットから切り離すなどの即時対応を求めています。
この警告の背景には、2026年10月から欧州を中心に拡大している一連の破壊的なサイバー攻撃があります。まず2026年10月中旬、フランス国内の約250から350にのぼるスーパーマーケットで、夜間に冷蔵・冷凍設備が遠隔操作され、庫内温度が最大50度まで引き上げられる事件が発生しました。これにより大量の生鮮食品が腐敗して廃棄に追い込まれ、一部の店舗では機器の過熱による火災も発生し、被害総額は数千万ユーロに達したと推定されています。
さらに攻撃の波は他国や他分野へも急速に広がりました。2026年11月1日から2日にかけては、スウェーデンやベルギー、ルクセンブルクなど欧州6カ国以上で115店舗以上の食品スーパーが同様の被害を受けたほか、フランスの国立血液事業機関であるEFSの3つの血液保管施設でも、マイナス30度で管理されていた血漿の冷凍設備の設定温度が110度に書き換えられる事案が発生しました。EFSでは独立した音響警報システムが作動したため、職員が手動で予備の冷凍庫へ血液製剤を移し替え、間一髪で医療資源の損失を免れています。加えて米国内でも、国防総省が管轄する米軍基地内の食料品売場において冷凍庫が異常加熱する事案が複数報告されており、当局が関連を調査しています。
技術的な観点から見ると、攻撃者はインターネットに直接公開されたままになっている古いPLCや温度管理コントローラーの認証バイパス、あるいは初期パスワードの放置といった設定不備を突いています。特に巧妙なのは、冷却コンプレッサーを停止させた上で、本来は霜を取り除くための電気ヒーターを強制的に連続稼働させる「霜取りモード」へと書き換える手口です。これにより、外部の保守業者や店舗スタッフには通常のメンテナンス動作であるかのように偽装しつつ、冷凍庫を事実上のヒーターへと変貌させています。さらに、管理画面上の温度表示を正常値に固定して異常を隠蔽する手口も確認されており、現場が異変に気づくのを遅らせる工夫がなされています。
多くの小売店や倉庫では、冷凍設備の保守を外部のメンテナンス業者に委託しており、業者が遠隔監視のためにインターネット経由のアクセス経路を開けているケースが少なくありません。今回の米政府のガイダンスでは、こうしたコントローラーを直ちに公衆インターネットから遮断すること、社内ネットワークから分離した専用のOTネットワークへ隔離すること、そして制御システムとは完全に独立した別回線の温度センサーやアラームを設置することを強く推奨しています。これまで情報漏洩対策が中心だったサイバーセキュリティですが、ネットワークにつながった産業機器を通じて物理的な破壊や公衆衛生上の危機を引き起こすOT領域の防衛は、あらゆる企業にとって経営直結の課題となっています。
今回のエピソードは以上で終了です。また次回お会いしましょう。
感想
まだ感想はありません。最初の1件を書きましょう！