サイバー攻撃の疑い、欧州6カ国で食品冷却に障害、商品廃棄も

混乱は11月2日にかけての夜間に発生し、ベルギー、ルクセンブルク、スウェーデン、アイルランド、オランダ、エストニアの小売業者に影響した。複数の企業やサプライヤーは、冷却制御への悪意ある干渉があったと説明している。デルハイゼの冷蔵システムを運用し、影響を受けた機器の一部を製造するサブコベルは、自社の事案をサイバー攻撃と呼んでいる。しかし、6カ国すべてを結びつける単一の攻撃があったことは立証されていない。⁠1⁠2

デジタル面の説明より、物理的な被害のほうが確かに把握されている。食品は販売から外され、従業員が後片付けに追われ、一部の店舗は一時閉鎖した。営業を続けた店舗や再開した店舗もある。廃棄在庫の全容、影響を受けたすべての拠点の復旧予定、攻撃者の身元は、依然として明らかになっていない。⁠1⁠2

フーイラールトの見積もりは、BBCによると、ベルギーのニュースメディア、ヘット・ラートステ・ニュースに店舗の店長が語ったものだ。対象はベルギーのフランデレン地域にある1店舗で廃棄された農産物であり、監査済みの全国損失額ではない。地元メディアは食品損失が数百万ユーロに上ると報じているが、信頼できる合計額や重量は確定していない。店舗の見積もりを、こうした広範な報道の額に単純に足すことはできない。同じ損失がすでに含まれている可能性があるためだ。⁠1

ベルギーとルクセンブルクを合わせて、影響を受けたデルハイゼのスーパーは約40店舗であり、各国で40店舗ずつではない。カルフールはベルギーの15店舗で混乱が起きたと報告し、緊急措置により全店舗の営業を維持したと述べた。フランチャイズを通じてベルギーのスパー店舗を運営するコルイト・グループは、5店舗の冷蔵システムが攻撃を受けたとした。これらは各小売業者の説明であり、影響を受けたすべての施設を照合した集計ではない。⁠1

オランダでは、被害を受けたと報告された中に、精肉店や小規模な近隣店舗が含まれていた。ダンフォスの広報担当者はオランダの放送局NOSに、少なくとも17の事業所で夜間に冷蔵・冷凍庫の温度が変更されたと述べた。これは事業所の数であり、スーパー17店舗という意味ではない。また、影響が大手食料品チェーンにとどまらないことも示している。⁠6

アイルランドのスーパーバリューは、13のスーパーで冷蔵システムが影響を受けたと報告した。運営会社のマスグレイブ・グループは、サイバー事案の影響は「特定のモデル」の冷蔵庫に限られたと説明した。この限定は重要だ。対象店舗の冷却装置がすべて故障したわけでも、スーパーバリューの全店舗網が影響を受けたわけでもない。アイルランドでの損失総額や完全な復旧時期は確認されていない。⁠1

したがって、損失は故障した冷凍庫に入っていた食品だけではない。従業員が在庫を撤去し、営業を再開させる間、店舗は営業機会も失う可能性がある。フーイラールトの店長の見積もりは、この違いを明確に示している。食品の損失だけですでに大きな額であり、閉店による損失はそれに加わる。

スウェーデン南部のシェーボーでは、ICAの店舗が、何者かによって冷蔵庫と冷凍庫の設定温度を50°C（122°F）にされたと発表した。これは制御装置の設定が変更されたという説明であり、冷蔵庫や中身が実際にその温度に達した証拠ではない。店舗は早めに閉店し、その後営業を再開した。ICAは、中央ネットワークの外で運用されている少数の店舗に影響があり、支援していると述べた。中央ネットワーク自体が侵害されたとは報告していない。⁠1

ストックホルムの別の店舗、ICAバローネンは、サイバー攻撃によりすべての冷凍庫が故障したとの告知を掲示した。同店の販売責任者は、事案の発生を現地時間午前2時、発見を午前5時30分としている。これらの時刻は1店舗での経緯を示すもので、欧州全域の混乱について確認された発生時刻と検知時刻ではない。⁠2

スウェーデンのCoopで影響を受けた店舗数は、11月2日に掲載された報道の間で増えた。インディペンデントの早い報道では6店舗だったが、BBCの後の報道では800店舗中7店舗とされた。変更の理由は説明されていないものの、後の数字が先の数を更新する。CoopはBBCに、状況は「現在、封じ込められ、管理下にある」と述べた。これは、すべての冷蔵設備が再稼働し、廃棄された在庫がすべて補充されたと確認するより限定的な主張だ。⁠2⁠1

エストニアの放送局ERRは、影響を受けたスーパーとしてセルヴァーを挙げた。サプライヤーのキットマン・コールドテックも、影響を受けたスーパーマーケットチェーンの顧客と、設定温度が+50°Cに変更されたことを説明したが、その報告ではチェーン名を明らかにしていない。これらの報告から、被害に遭った企業が2社だったとは断定できない。また、この設定値を実測された食品温度と取り違えてはならない。⁠21⁠2

冷却がどのように中断されたかについて、最も具体的な説明をしているのはサブコベルだ。同社によると、冷却を担う冷蔵システムの部品である蒸発器が霜取りモードに切り替えられ、その結果、装置の温度が上昇した。最高経営責任者のステファン・モーレンスはベルガ通信に、これはサイバー攻撃だと述べ、機器を隔離する作業を進めていると説明した。⁠1

モーレンスは、フランスで先に起きた攻撃を受けて対策を始めたと述べ、影響を受けた装置にはソフトウェアの変更だけでなく、物理的な改修が必要だとした。冷蔵庫は安全なインターネット接続を通じて管理することを推奨し、サブコベルの顧客の大半はフランスでの事案後に切り替えたと述べた。これらはサプライヤーによる対応と推奨策の説明であり、脆弱な装置すべてが改修されたことや、残るリスクがなくなったことを示す証拠ではない。⁠1

10月14日、攻撃者が冷蔵制御装置を遠隔操作した後、フランスの数百のスーパーが生鮮食品と冷凍食品を廃棄したと報じた。11月に伝えられた霜取りモードの説明は、先の事案の手口と似ている。変わったのは冷却障害が報告された地理的範囲であり、変わっていないのは、フランスの攻撃と今回の一連の事案すべてを結びつけるフォレンジック証拠が出ていないことだ。

Ahold Delhaizeも10月、同社のインフラで不審な活動があったとして警察に届け出た。その活動と11月の冷却障害を結びつける根拠は示されていない。小売業者間で時期や影響が似ていることは調査の理由にはなるが、犯人が同一であること、同じプラットフォームが侵害されたこと、あるいは機器への侵入経路が同じだったことの証明にはならない。⁠2

ベルギーとスウェーデンの国家サイバーセキュリティ機関は、事案を監視している。英国の国家サイバーセキュリティセンターは、何が起きたのかを把握するため、国際的なパートナーや業界と協力していると述べた。英国で影響を受けた事案は報告されていない。こうした対応は、6カ国に共通の原因があることを示すものではない。⁠1

小売業者にとって、いま問われているのはフォレンジック調査だけでなく実務面でもある。冷却を確実に保ち、在庫を補充し、中断を再発させないことだ。扉を再び開けたり、制御装置を切り離したりするのは前進だ。しかし、失われた食品の全容や、障害が確実に防止されたことについて、最終的な説明が得られたわけではない。