HN400617
欧州のスーパーで冷蔵庫がハッキング被害に！「強制霜取り」で食品ロスの危機
Hackers activate automatic defrosting in supermarket fridges across Europe
Zeekaas・1日前
議論
11件欧州のスーパーマーケットチェーンがサイバー攻撃の標的となり、店舗内の冷蔵システムが異常動作を起こす事態が発生しています。攻撃者は冷蔵庫の自動霜取り機能を強制的に起動させ、冷却を止めてしまうという手口を使用。多くの店舗が影響を受け、食品の鮮度維持に深刻な脅威となっています。関連情報として、Danfoss製冷凍コントローラーの脆弱性に関する調査レポート（Claroty提供）や、過去の軍事基地内でのハッキング事例についても議論されています。詳細は以下のソースからご確認ください。・Reuters: https://www.reuters.com/business/retail-consumer/french-supermarket-chain-intermarche-hit-by-cyberattack-150-stories-targeted-2026-10-12/ ・BBC: https://www.bbc.com/news/articles/crq5nzxv9q4yo ・Le Monde: https://www.lemonde.fr/en/france/article/2026/10/12/french-supermarket-chains-say-cyberattack-forced-refrigerator-shutdown_6758510_7.html ・Claroty（脆弱性分析）: https://www.claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers
ケースコントローラーをインターネットに接続することで、さらなるコスト削減の機会が生まれます。遠隔で問題を診断してケースを制御できれば、霜取りの開始といった単純な状況でサービスエンジニアを呼び出す必要がなくなります。また、店舗全体のパフォーマンスと効率を比較できるようになるため、パターンを見つけて段階的に効率を改善することが容易になります。（https://www.danfoss.com/en/service-and-support/articles/dcs/how-smart-refrigeration-case-control-makes-energy-saving-simple/ ）
この効率化による利益が、損害を上回るのか疑問だな。アイデア自体は悪くないのかもしれないけれど、「もし誰かがこれをハッキングしたらどうする？」なんて考える人は誰もいないのかね。
その特定の脆弱性は今年の夏に見つかっていて、ベンダーとの連携で開示され、少なくとも一部のモデルはパッチが適用されたみたいだね[0]（全モデルかどうかは不明だけど）。ただ、初期の報告によると：
- これが重大なセキュリティパッチであることを顧客に警告していなかった
- これらの冷蔵庫や冷凍庫の多くは、独自の3G/4G SIMカードを使って何の保護措置もなく直接インターネットに晒されていた！
やばすぎる話だ。
コントローラーを凍らせて、食品を解凍する：Danfoss製冷蔵コントローラーの脆弱性を暴く
Amir Zaltzman
/ 2026年8月9日
これかなり興味深いね。というのも、Danfossの脆弱性が2026年8月下旬に米軍基地で発生した同様の状況と関連しているのではないかと疑われていたからなんだ。
https://signalandsilence.substack.com/p/i-think-someone-hacked-the-commissary
これって同じグループの仕業かな？それともあの記事を読んで触発された誰かかな？それとも完全に無関係なのか。
興味深いことに、オランダの大手スーパーマーケットも詳細不明のサイバー攻撃を受けて、ITシステムをほぼすべてシャットダウンする羽目になったんだ。制御システムのハッキングというよりは、普通のランサムウェア攻撃って感じだけど……。EUの2カ国で同じ日に食料供給が標的にされたというのは、やっぱりきな臭いね。しかもNATOの「ロシアよ、我々は本気だぞ」的な大規模会議があったその日に、だよ。
タイトルが紛らわしいな。HNの元記事もここも。フランスのスーパーチェーン3社が冷蔵システムをハッキングされたというのが事実。
それとは別に、ベルギーとオランダで展開するスーパーマーケットチェーンが「サイバーセキュリティインシデント」のためにITシステムの大部分をシャットダウンした。主に配送センターや食料品配達サービスに影響が出ているけど、スーパーの店舗自体は現在営業中だし、冷蔵の問題は起きていない。
タイミングが怪しいから関連している可能性は十分あるけど、現時点では報告されていないね。
Ahold Delhaizeに対するランサムウェア攻撃が1件と、冷蔵サプライヤーに対する無関係の攻撃が1件という可能性が高い。数週間前に米軍施設で起きた冷蔵攻撃と似ている点には注目だ。
関連があるかは分からないけど、この記事にある冷凍庫の脆弱性が8月に公開されていたよ。
もしかして、攻撃グループが悪用できるターゲットをずっと探していたのかな？
2008年頃、スーパーマーケットの制御システムの分野で働いていたことがあるんだ。
これらのシステムがネット接続されていて遠隔操作できるのは、マネージャーが時間経過に伴う使用状況の変化を確認して、節電や食品管理の最適化を行えるようにするためだよ。例えば、顧客の購買パターンや商品の変化に合わせて、特定の冷蔵ケースの温度範囲をより狭く保ちたい場合などが挙げられる。もう一つの例はデマンドレスポンスだ。電力不足が発生しそうな時に電力会社から負荷を減らすよう要請があるんだけど、スーパーだと照明を消したり、エアコンの温度設定を上げたり、除湿器を止めたりといった制御を行う必要がある。
当時の一つの有名な話として、2008年の経済危機の最中、ある会社が採用停止から解雇までをわずか1週間で実行したことがあった。技術者のグループが冷蔵コンプレッサーシステムの作業をしていたら、警備員から「すぐにやめて建物から出ろ」と指示されたんだ。彼らは「特別なテスト中で、終了するまでシステムを止める必要がある」と説明しようとしたんだけど、警備員は聞き入れず強制的に追い出した。結局テストは一晩中回り続けて、翌朝マネージャーが確認した時には10万ドル以上の冷蔵設備が損壊していたよ。
ネット上のコメント、「Danfoss CVE」で検索してみると分かるけど、容疑の一部はDanfoss SM800（2021年EOS）やSC355（2016年EOS）のような15〜20年前のコントローラーなんだ。
「なんで交換しないのか」——予算がない。
「CVEがあるのに」——予算がない。
ホワイトカラー層は、現場の交代制労働者がセキュリティレビューや定期的な機材交換といった、当たり前と思われている恩恵を全く受けていないということをなかなか理解してくれない。
「Tailscaleを導入すればいい」——スーパーの店長がそんなこと本当にできると思う？他の10年前から使っている古い技術と同じように、チェーンの一部として中央で管理されていて、何かあれば技術者を呼んで待つしかないような環境でだよ。
セキュリティ・バイ・デフォルトの法律があれば将来的には助けになるだろうけど、特にコモディティ産業では老朽化したインフラが常に足を引っ張る。そして、これから無数のハッキングや妨害を仕掛けてくるであろう不満を抱えた連中を、我々はまだネットから排除できていないんだ。
病院の検査技師と話したばかりなんだけど、最近のラボ機器の中にはインターネット接続が必須のものがあるらしい。なぜなら、そのマシンの使用料をサブスクリプションで払わないとテスト自体を実行できないからだ。サブスクのクレジットが切れたらテストもできない。
なんでこんな話をしたかというと、ここのコメント欄で「なぜ冷凍庫をネットにつなぐ必要があるんだ？」って言っている人が多いからだよ。
HNのユーザーの多くは、ネットベースのサブスクリプションモデルを実現するための技術を作っている企業で働いていたはずなのに、そういうコメントが出るのがすごく面白いなと思ってね。