テクノロジー · 冷蔵設備へのハッキング

フランスのスーパーマーケットへのハッキングで食品が廃棄、小売業者は冷却設備の安全確保を急ぐ

傷んだ在庫と火災の報告は、冷蔵設備の制御がハッキングされたことによる物理的な損害を示している。小売業者は、冷蔵状態を安全に保ちながら、公開された遠隔アクセスを閉じなければならない。

放送 執筆 13分で読めます83件の情報源HeyDay News Desk · About usWatch report
HeyDexで調べる

RSSでフォロー

原語の動画

文字起こし · 読み込み中

英語の原文から翻訳されています。

ニュースの経過6日目

1 件のレポート58 社のメディア83 件の情報源16 本の動画

  • 日付のある出来事はまだありません
  1. 第1報フランスのスーパーマーケットへのハッキングで食品が廃棄、小売業者は冷却設備の安全確保を急ぐ現在地

販売されるはずだった生鮮食品や冷凍食品は、廃棄せざるを得なかった。フランスの数百のスーパーマーケットで、攻撃者が夜間に遠隔操作で冷蔵設備の制御を改変し、従業員は傷んだ在庫を処分することになった。一部店舗では、設備の損傷や火災の報告にも対処しなければならなかった。ある店舗のディレクターは、その店の生鮮食品と冷凍食品をすべて失ったと述べた。 7

小売業者にとって、当面の課題は補充だけではない。外部の侵入者を制御システムから締め出しながら、食品を安全な低温に保つことだ。10月14日付のGlobal Newsの報道によると、フランスのサイバーセキュリティ機関は、攻撃活動がなお続いている可能性があると警告した。この警告は、同日に新たな侵害があったことを確認するものではないが、危険が去ったと宣言されたわけでもない。 1

最も明確な時系列では、混乱は2026年10月11日日曜日の夜から10月12日月曜日にかけて発生した。Capitalはこの夜間の時間帯を報じた。Global Newsは10月14日の記事で日曜日の攻撃と説明し、FRANCE 24は10月13日の報道で店舗が月曜日に標的になったと伝えた。これらの記述は同じ夜を指している可能性があり、別々の攻撃の波があったことを示すものではない。正確な開始時刻と終了時刻は不明である。 28 1 6

店舗が無人の間に、攻撃者は温度設定を変更したり、霜取りシステムを作動させたりしたと報じられている。冷蔵設備の制御が乗っ取られたことは、侵入経路よりも確かな事実である。捜査当局は悪用された脆弱性を特定しておらず、共通のサプライヤーのプラットフォームが侵害されたという説も確認されていない。 8 20

数百店舗に影響、全国の確定件数はなし

Les Mousquetairesは、影響を受けたと報じられたIntermarchéおよびNettoの店舗を300店としている。これはフランス全土の店舗数が300店という意味ではない。Public Sénatの内訳では、Carrefourのスーパーマーケット80店、Uの店舗80店、Monoprixの店舗約30店、さらに店舗数の記載がないE. Leclercの複数店舗も挙げられている。概数や未記載の数字があるため、正確な合計は算出できない。 28 80

全国の推計値は依然として一致していない。10月13日、ABC News Australiaは各チェーンが提供した数字をもとに約500店と推計し、Global Newsは少なくとも350店と報じた。NBC Newsは約700店、つまりフランスの約10,000のスーパーマーケットの約7%とした。掲載時刻の違いだけでは、この差を説明できない。より高い推計が、より広範な対象、追加のインシデント、あるいは別の集計基準を反映しているのかを示す、照合済みの店舗一覧や集計方法はない。これらの数字を合算してはならない。 14 5 4

CTV Newsは10月13日の記事で、スペイン、ポルトガル、ポーランド、ドイツ、ベルギーの影響を受けた店舗も挙げた。フランス当局は、同様のインシデントをめぐり欧州の関係当局と連携していると報じられたが、国別の検証済み件数や共通する侵入経路は確認されていない。カナダやオーストラリアでの潜在的なリスクに関する警告はリスク評価であり、そこで攻撃があったという報告ではない。 9 8 1 14

温度や設定値が50°Cまで上がったとの報道があり、これは122°Fと同じ温度である。一部の報道は100°F超、または50°C近くと伝えている。さらに重要なのは、コントローラーの設定値と機器内部の温度が、報道の中で混同されている点だ。店舗ごとのセンサーログと時刻記録がなければ、いずれの報道も全店舗で一律の数値だったことを示すものではない。ABC Newsは専門家の説明として、一部の機器で6時間以上加熱が続いたと伝えたが、影響を受けたすべての設備について、時間を独立して計測した結果ではない。 6 7 4 5 13

金銭的損害は大きいものの、まだ全容は把握されていない。FRANCE 24は、パリ郊外のスーパーマーケットが腐敗した商品の損失を55,000ユーロと見積もったと報じた。NBCはIntermarchéの最高経営責任者が数百万ユーロの費用を見込んでいると伝え、Reutersは小売業者の予測が数千万ユーロに達すると報じた。これらは規模の異なる推計であり、監査済みの請求額ではない。 15 3 7

ドル建ての口座についても、金額は数百万から数千万に及ぶが、通貨が一貫して明記されているわけではない。これらをユーロ建ての推計と単純に合算することはできない。設備の損傷や販売の中断により、食品の買い替え以上に影響が広がる可能性はあるが、個別に検証された損失項目の内訳は公表されていない。 11 4 7

火災の報告があるため、これは在庫廃棄だけの話ではない。パリ検察庁は、説明の中で火災と食品の損失に触れたが、報道からは火災の完全な件数、発生した全地点、出火の仕組み、負傷者に関する情報は確認できない。負傷者の報告がないことは、誰も負傷しなかった証拠ではない。 43

遠隔アクセスを切断し、冷却は止めない

CERT-FRの警告「CERTFR-2026-ALE-012」は10月12日に初めて発出され、10月13日に改訂された。転載された本文では、Danfoss AK-SMおよびAK-SCコントローラー、Copeland XWEBおよびDixell XWEBシステムが挙げられている。Clarotyによると、10月13日の改訂で、対象として挙げられた機器にCopelandとDixellが追加された。これらの製品群が名指しされたからといって、すべてのモデルや設置環境が同じ形で脆弱だと立証されるわけではない。 36 37 38

転載された勧告は、管理インターフェースをインターネットに公開することは、一般に適切な運用とはいえないと警告している。侵害されていない機器に関する手順は、まずインターネットへの露出をなくすことから始まる。つまり、公開状態にある遠隔管理機能を閉じるということであり、冷蔵設備の電源を切るよう指示していることが確認されたわけではない。侵害された機器とされていない機器それぞれについての手順の全容はここでは入手できないため、この証拠だけから、パスワード変更、ファームウェア対応、報告手続きの確定した順序を示すことはできない。 37 39

少なくとも1人の店舗ディレクターは、再攻撃のリスクを減らすため、店舗の冷蔵設備の遠隔操作を無効にしたとFRANCE 24に語った。これは具体的な対応ではあるが、あらゆる場所で攻撃者を締め出せた証拠ではない。報道時点で、生鮮食品や冷凍食品の売り場の一部は閉鎖されたままで、共通の再開日は定まっていなかった。 15 12

Danfossによると、影響を受けた機器の大半は、ライフサイクルを終え、ソフトウェアやセキュリティの更新が提供されなくなった旧製品系列に属するか、古いファームウェアを実行していた。その後のABCの報道では、新しいモデルは影響を受けていないとされ、同社は顧客を支援しているという。これらの発言は報告されたリスク範囲を絞るものだが、影響を受けたすべてのモデルを独立して検証した一覧ではない。 15 3 2

クイーンズランド大学サイバー研究センター所長のRyan Ko教授は、公開された遠隔管理システムが、攻撃者に冷蔵設備の制御を探し出して操作する経路を与えると説明した。FRANCE 24の取材を受けたYgrekyのサイバーセキュリティ専門家Marta Rybczynskaも、インターネットからアクセスできる管理機能と、何年も前のファームウェアを問題視した。両者の分析はリスクを説明するものだが、各店舗での侵入方法を確定するものではない。 59 10 49 6

ニューサウスウェールズ大学のRichard Buckland教授は、複数の小売業者に及んだ混乱は、共通のサービス提供事業者が侵害されたことで説明できる可能性があると示唆した。これはあくまで仮説である。独立した警報と人による監視を勧めたのは、より根本的な問題に対処するためだ。運用担当者には、操作されているコントローラーに全面的に依存せず、危険な変更を検知する手段が必要である。AIが脆弱性の悪用手法の開発を加速させ得るというKoの別の警告は一般的な分析であり、この攻撃でAIが使われたことを示す証拠はない。 61 14 10

分かっていること

  • パリ検察庁のサイバー犯罪部門が捜査を開始し、CERT-FRは冷蔵設備のコントローラーに関する警告を発出した。 636

不明な点

  • 攻撃者、動機、正確な侵入方法、物理的被害の全容、最終的な損失額はいずれも確定していない。

今後の展開

  • 小売業者が安全な冷却を確認し、公開されたアクセス経路を閉じ、再び混乱を招かずに影響を受けた売り場を再開できるかどうか。

10月14日までに入手できる報道では、犯行声明を公に出したグループはなかった。これらの点を取り上げた報道では、データ窃取や身代金要求も報告されていないが、これはどちらも発生しなかったという鑑識上の結論ではない。 6 8

すでに明らかになった事実だけでも、冷蔵設備のセキュリティを任意のコンピューター関連費用として扱うことが許されない理由は明らかだ。こうした制御システムは、物理的に不可欠なものを守っている。復旧には、設備が正常に動くこと以上のものが必要だ。小売業者は食品の安全性を確認し、外部の人間が安全を保つ条件を変更できないことも確かめなければならない。

この記事の情報源

放送報道：Global News 1 5；ABC News 2 11 13；NBC News 3 4；FRANCE 24 English 6 15；Reuters 7；CBS News 8；CTV News 9；ABC News Australia 10 14；Bloomberg Television 12；Guardian News 16。

インシデントおよび技術関連の報道：The Hack Academy 17；Cybernews 18；Claroty 19 38；TSN Media 20；Food Tech Insider 21；Flawfence 22；CBS News 23；Time 24；Le Nouvel Obs 25；P.K. Sharma 26。

小売業者および食品業界の報道：Associated Press 27；Capital 28；ABC News Australia 29；FoodNavigator 30；Pollar 31；Industrial Cyber 32；Al Jazeera 33；Threatcluster 34；The Connexion 35。

勧告およびその他の報道：CERT-FR 36 81；Vulnerability-Lookupによる転載 37；CyberTechEdition 39；Security.io 40；AIGYROS GROUP 41；FRANCE 24 42；NBC News 43；CBC News 44；CNBC 45；Al Jazeera 46；Y94 47；Insurance Business 48。

専門家へのインタビューおよび分析：FRANCE 24 49；CBC News 50；iTnews 51；Al Jazeera 52；ABC News Australia 53；Auslume 54；Globalsconflicts 55；Tim McAllister 56；Securitysignal 57；Duke FM 58。

人物確認のための資料：クイーンズランド大学のプロフィール、名簿、チーム情報 59 60 62 63 64 66 67 68；ニューサウスウェールズ大学のプロフィール 61；Richard BucklandのLinkedInプロフィール 65。

政策関連資料：欧州委員会 69；EUR-Lexの規則およびPDF 70 71；CRA Evidence 72；Phinasoft 73；Cybernova Labs 74；Cyber Resilience Act Explained 75；EUVerify 76；NISD2.eu 77；INNOSYS 78。

追加のインシデント関連資料：Gridinsoft 79；Public Sénat 80；Maître Reda Kohen 82；Cybernova Labs 83。

放送時の内容 27行
  1. Hackers forced hundreds of French supermarkets to throw away fresh and frozen food. Retailers face spoiled stock, damaged equipment and reported fires, while France’s cybersecurity agency warns attack campaigns could still be underway. Can stores keep food safely chilled while shutting outsiders out of their refrigeration controls?
  2. Staff emptied refrigerated and frozen sections after attackers remotely interfered with the equipment keeping products cold. Some fresh and frozen aisles remained closed. One store director described losing all the store’s fresh and frozen produce.
  3. The disruption struck overnight, while stores were unattended. Attackers reportedly changed temperature settings or activated defrost systems, allowing equipment to warm for hours. The clearest timing places the attack across the night of October 11 into October 12, 2026.
  4. Sunday-night and Monday descriptions can refer to that same overnight disruption. Retailers confirmed the damage on Monday. The timing doesn't show two separate waves of attacks, and nobody has given precise start and finish times.
  5. The heating was prolonged. Some descriptions put it at six hours or more, while others describe several hours overnight. Those are estimates of what happened to some equipment, rather than a single measured duration across every affected store.
  6. Some refrigeration settings or temperatures reportedly reached up to 50 degrees Celsius, equivalent to 122 degrees Fahrenheit. Other descriptions put them above 100 Fahrenheit. The figures mix settings and appliance readings, so they don't show every cabinet reached the same temperature.
  7. Les Mousquetaires reported 300 affected Intermarché and Netto stores. That gives a concrete measure of the damage within one retail group. Other major chains were hit too, and their figures explain why the impact extends well beyond that group.
  8. The retailer breakdown also identifies 80 Carrefour supermarkets, 80 U stores and around 30 Monoprix stores. Several E. Leclerc stores were affected too. With an approximate Monoprix figure and no Leclerc count, that breakdown can't produce an exact national total.
  9. The national estimates disagree. They range from at least 350 stores to about 500 or about 700. Their publication times don't explain the differences, and the figures shouldn't be added together or treated as proof that new attacks kept increasing the toll.
  10. The higher estimate puts about 700 of France’s 10,000 supermarkets in the affected group, roughly seven percent. But nobody has reconciled the store lists or explained the counting methods behind the different national estimates.
  11. French authorities are also coordinating with European counterparts over similar incidents. The reported reach includes five other countries, although the damage in each country hasn't been counted and investigators haven't connected every incident through one common intrusion route.
  12. Stores in Spain, Portugal, Poland, Germany and Belgium were also reportedly affected. Experts warn that similarly connected equipment could expose retailers elsewhere, including Canada and Australia, to the same kind of physical disruption.
  13. A supermarket in a Paris suburb estimated its spoiled-product losses at 55,000 euros. Intermarché’s chief executive expected costs in the millions of euros, and other retailer estimates reached tens of millions. Those estimates cover different scopes and aren't a final bill.
  14. Dollar-denominated estimates also run from millions to tens of millions, but the currency isn't consistently specified. They can't simply be combined with the euro figures. Retailers also face equipment damage and interrupted sales beyond the cost of replacing food.
  15. The Paris prosecutor’s office included food losses and fires in its account of the attack. Fires were reported at some stores, but the ignition mechanism and full damage haven't been explained. Fresh and frozen sections were still closed at some locations during the reporting.
  16. France’s cybersecurity agency urged operators to remove internet exposure from affected units. Its warning targets the remote-management connection. Retailers still need cooling to protect food, and at least one store director said the store had disabled remote operation of its cold units.
  17. The agency’s CERT-FR alert was first issued October 12 and revised October 13. It described numerous compromises of remote refrigeration controllers. The revision widened the named equipment beyond Danfoss to include systems from Copeland and Dixell.
  18. The warning names Danfoss AK-SM and AK-SC, Copeland XWEB and Dixell XWEB controller families. Danfoss says most affected units came from an old product line without security updates, or were running outdated firmware, the software embedded in the equipment.
  19. Danfoss also says newer models were unaffected and it's working with affected customers. Its explanation points to aging connected controls that remained in service after security support ended. Investigators still haven't identified the precise flaw or initial access method used in the attacks.
  20. University of Queensland professor Ryan Ko says exposed remote-management systems give attackers a route to find and manipulate refrigeration controls. Cybersecurity expert Marta Rybczynska, at Ygreky, also points to internet-accessible administration, years-old firmware and missing basic security measures.
  21. Ko recommends checking online exposure, investing in security and encouraging prompt reporting. He also warns that AI can accelerate vulnerability discovery and exploit development, potentially compressing hours or days of work into minutes or seconds. That's his general assessment of the technology.
  22. UNSW professor Richard Buckland suggests a compromised central provider might explain why multiple retailers were hit. Investigators haven't confirmed that hypothesis. He warns about a single point of failure and recommends independent alarms and human oversight to catch dangerous changes.
  23. The Paris Public Prosecutor’s Office opened a cybercrime investigation, alongside the national cybersecurity agency’s work. By October 14, no group had publicly claimed responsibility. No data theft or ransom demand had been reported. Investigators haven't announced the attackers’ identity or motive.
  24. The EU Cyber Resilience Act sets a broader direction for secure design, updating and maintenance of connected products. Its reporting obligations began September 11, 2026. The main obligations are scheduled for December 11, 2027, though these controllers’ precise legal classification hasn't been settled.
  25. France’s separate NIS2 cybersecurity legislation was still pending in early October. The Senate passed the bill in March 2025, and an Assembly committee approved it that September. The Assembly floor stage was postponed October 6, 2026.
  26. Retailers have begun closing exposed remote access while trying to restore food storage and sales. The agency warns campaigns could still be underway. Disconnecting a remote connection can reduce exposure, but retailers haven't demonstrated that attackers have been excluded everywhere.
  27. France’s finance minister called the attack a wake-up call. Stores now have to protect two things together: the temperature keeping food safe and the controls deciding that temperature. There’s still no common reopening date for affected fresh and frozen aisles.

情報源

83 件の情報源58 社のメディア16 本の動画

情報源マップ

この報道の根拠をたどります。マップで情報のつながりを確認し、下のリンクから記事で引用された情報源を開けます。

記事を読む間に情報源マップを読み込みます。

ニュースルームの全体マップを見る ↗

翻訳更新：

改訂履歴

  1. r1初公開。