米軍の売店（コミサリー）の冷凍庫がハッキングされたかもしれない件

米軍の売店にある冷凍庫が、何者かにハッキングされた疑いがあるようです。

シングルソースのシステムプロバイダー兼インテグレーター、そして何かの終焉日ってこと？ハッキングか設計上の欠陥のどちらかだろうね。根本原因分析（RCA）の結果を待つとしよう。

著者はハッキングだと断定しているわけじゃなくて、可能性の一つとして挙げているだけだね。ただ、もっと明らかな問いを投げかける前にハッキングの可能性へ突っ走っている感がある。そもそも軍の中に冷蔵庫はいくつあって、そのうちどれくらいが問題を抱えているのか？著者も認めている通り、1日あたり半ダース程度の故障なら、標準的なメンテナンスの問題として納得できる範囲だ。もしハッキングなら、50%くらいが同時に不具合を起こすことを期待する。全数を知らないことには、これらのインシデントがどれほど重大なものなのか判断しづらいね。

米国外のコミッサリー（米軍の売店）だと、これがより深刻な事態になるだろうね。リストには入っていないみたいだけど。下級兵士の給料はかなり低くて月2400ドル程度だから、コミッサリーの安い価格設定はすごく助けになっているんだ。米国内なら基地外に手頃な選択肢があるけど、海外は場所による。多くの拠点が辺鄙な場所にあるし、地元の食料品店がめちゃくちゃ高い地域もあるからね。

数年前にSiemens S7-1500 PLCと通信するサービスに関わったことがある。その時の経験からすると、最近読んだ「保護されていない産業用PLC」に関する話には何ら驚きはないな。初めてSiemens TIA PortalとPLCSIMを開いた時、「うわ、まだWindows 95のGUIライブラリが現役なのか」と思ったよ。雇っていたPLC業者は誰もその装置でTLSを有効にする方法を知らなかった（彼らの常套句はadmin/adminというユーザー名/パスワード）。小話だけど、本物のCAで署名されたSSL証明書を受け付けさせるためにドキュメントを何時間も読み漁ったのにダメで、結局opensslで自己署名した証明書なら通ったということがあった。公平に見て、SiemensのPLCプログラミングの専門家たちは機械系エンジニアであることが多く、セキュリティは彼らのスキルセットや関心の外にあるんだよ。

20年以上現役で、そのキャリアの大半をITやセキュリティ分野で過ごしてきた立場から言うと、ハッキングの可能性は低くて、設定ミスかアップデートの不具合の可能性が高いと思う。ただ、情報開示のタイミングと今回の問題の内容についてはかなり懸念があるね。もしこれが攻撃だとしたら、標的として最も価値が高いのはグアムやハワイのような孤立した海外拠点だろう。地元の経済に波及効果を生むからね。特にグアムの場合は悲劇的な供給不足を引き起こすだろう。DeCA（国防省の売店部門）があの島の食料供給の約50％を担っているはずだからね（あくまで当時の肌感覚だけど）。

どうも、著者です。私のこのささやかな「フリーザーゲート」の備忘録がなぜHacker Newsから参照されているのか気になって、このスレッドを見つけました。いくつか補足させてください。私はサイバーセキュリティの専門家ではなく、全く別の分野の調査員です。これは単に、奇妙な疑問を追いかけてみた結果に過ぎません。私のバックグラウンドが国家安全保障なので、自然とそっちの思考回路になったんです。あれ以降、同じようなパターンの冷凍庫の故障が少なくとも数十件報告されていますが、今はより専門的なジャーナリストが大きなメディアで取り上げているので、Facebookのコメントを元に個別の奇妙なケースを追いかけるのは控えています。あと面白いことに、基地内にはDeCAや国防総省の管轄外にある冷凍庫や冷蔵庫がたくさんありますが、それらは全く影響を受けていないようです。設定ミスや共通の技術的な障害といった、もっと退屈な答えである可能性が高いという意見には完全に同意です。私にとって興味深いのは、何百もの異なるシステムが上流で共通の監視・制御インフラに集約されている可能性がある点です。このフォーラムの人は理解しているでしょうが、IoTは学生時代には比較的新しい概念で、私の学位も多少は関係しています。一般の人は、IoTがいかに広大で、その保護にどれほどの手間がかかっているかを知りません。それと、指摘があったので：はい、人間が書きました。私は書き手として、また社会的な観点からもAIには反対です。今後公表する文章には、AIの使用箇所を末尾に脚注として必ず記載するようにします。私自身、AIが書いたような中身のない文章を読むのは嫌いですからね。技術的概念や「そもそも冷蔵庫の正常な動作とは何か」を理解するために最小限のLLMを使っただけです。変なフォーマットや過度な太字、神経質な括弧書き、長文の勢いは、悲しいかな100％私自身のものです。すみません。これは私の初めての公開投稿で、本来は文句を書き連ねたものを読まされた10人の友人向けのものでした。私には答えられない質問を投げかけてくる何千人もの知らない人向けではなかったんです。議論には感謝していますし、皆さんが挙げてくれたポイントについてはさらに勉強させてもらいます。

おそらく違うと思うけど、一番しっくりくるのは「ハンロンの剃刀」かな。予算不足やメンテナンス不足が露呈した証拠なのか気になっていたんだけど……「米軍のコミッサリーの冷蔵設備メンテナンスや交換、インフラ整備は、議会の直接予算ではなく、レジで客が支払う5％の追加料金で賄われている」という記述を見た。だから、まずはお金の流れを追うべきじゃないかな。修理は適切な頻度で行われているのか？修理はサードパーティのベンダーに丸投げされているのか？（たぶんそうだろう）。マクドナルドのソフトクリーム製造機問題の二の舞になるんじゃないか？正直なところ、現場を運営する人たちの単なる無能さ（悪意があったとまでは言わないが、この政権全体に漂う無能な雰囲気という意味で）だと考えるほうが楽だね。私は内部の人間じゃないから憶測でしかないし、著者だって同じだ（著者が誰かは知らないけど、現場の状況をよく知っているのかもしれない）。でも、これは「ミサイルの在庫切れ」や「水兵の自殺」といった話と同じ流れに思える。「世界一」であることを主張しすぎるあまり、社会が崩壊しつつあるという現実から目を背けているんだよ（もちろん、これがハッキングである可能性も否定はしないけど、賭けをするならね……）。無能さやコストカット、効率化という名のコスト削減。安かろう悪かろうだし、今の5％の追加料金じゃ大したことはできないんだろうね。

まず、これは単なる設定ミスである可能性が高いということは認めておこう。でも、もし故障の内容が違っていたらもっと納得していたはずだ。今回は、冷凍庫を加熱装置に変えてしまう除霜サイクルが勝手に始まって、食品が急速に腐敗してしまった。しかも、故障は夜間に起きたから発見が遅れたんだ。単なる不運の積み重ねかもしれない。でも、もし攻撃者が冷凍庫の仕様にアクセスできれば、電源を切った後にどれくらいの時間冷たさを保てるかを知っていた可能性があるよね。

これはハンク・ポールソンが2014年の著書『Dealing with China（中国との付き合い方）』で示唆していた脆弱性を不気味なほど連想させるね。「非電気式の冷却装置には25年間の無料リアルタイム監視機能が付いている。2012年春に同社を訪れた際、広東省の『Broad Air』社の最先端制御室で、技術者がスペインのアドルフォ・スアレス・マドリード＝バラハス空港、カリフォルニア州サンディエゴのクアルコム本社、そして『ジョージア州の米陸軍フォート・スチュワート基地』といった様々な場所にある自社ユニットの性能をチェックしている様子を目の当たりにした」。「Zhangによれば、顧客の80パーセントがリピーターだという。『長期的な利益をもたらしてあげれば、顧客はあなたを選んでくれる』」

これらの基地のうち少なくともいくつかは、国家安全保障の観点から非常に重要であることは触れておく価値があると思う。フォート・フアチュカは巨大なIT・通信セキュリティ拠点（米陸軍ネットワーク企業技術コマンド、米陸軍インテリジェンスセンターなど）だし、F.E.ウォーレン空軍基地は核ICBM戦略部隊を運用する3つの空軍基地の一つだ。今回の件で機密システムがハッキングされたとか危険に晒されたと言いたいわけじゃないけどね。