9つの欧州諸国のスーパーマーケットで冷凍・冷蔵システムが月曜日に混乱に陥ったと報じられた。これは、10月にフランスの10,000店のスーパーマーケットのうち約700店に影響を与えた攻撃に続くもの。フランスの国家サイバーセキュリティ機関であるCERT-FRは、業務用冷蔵の制御装置および部品の主要サプライヤーであるDanfossとCopelandが製造したリモートコントロールモジュールへの侵入とこれらの事案を関連付けている。いずれの組織も犯行声明を出していない。今回の事案は、インターネット接続された制御装置で管理されることが多いスーパーマーケットの冷凍・冷蔵設備が、遠隔かつ大規模に混乱させられうることを浮き彫りにしている。

ベルギー、エストニア、フィンランド、アイルランド、イタリア、ルクセンブルク、オランダ、ポルトガル、スウェーデンの店舗が問題を報告した。エストニアでは、一部の冷凍・冷蔵ユニットが50°C(122°F)に達するまで強制されたと報じられている。イタリア政府は火曜日にサイバーセキュリティ会議を開催する予定であり、CERT-FRはキャンペーンが現在も続いている可能性が高いと警告した。

最初に報告された攻撃波はフランスで発生した。財務大臣ロラン・レスキュールは10月13日、議会で約700店のスーパーマーケットが影響を受けたと述べた。CERT-FRによると、ハッカーはシステムを連続除霜サイクルに強制的に切り替え、食品を腐敗させ、一部の店舗で火災を発生させた。同機関は、DanfossとCopelandのリモートコントロールモジュールに関係する多数の侵入を把握していると述べた。

IntermarchéとNettoを傘下に持つGroupement Mousquetairesは、300店が影響を受けたと報告した。Cooperative Uは、2,000店のうち80店が被害を受けたと述べた。レスキュール大臣は食品供給にリスクはないとしながらも、この攻撃は「わが国の食の安全保障の核心に触れるものだ」と認めた。一部のMousquetairesのショーケースは火曜日も稼働停止のままだった。

月曜日の事案はベルギーの複数のスーパーマーケットチェーンに影響を与えた。Carrefourは700店のうち約15店で混乱が発生したと報告した。ベルギーの冷凍・冷蔵設備請負業者Sabcobelは、蒸発器が除霜モードに切り替えられたと説明した。除霜モードは通常、氷の蓄積を取り除くための周期的なサイクルだが、連続運転を強制されると食品室が温められる。連邦検察は捜査を開始した。ルクセンブルクの4つのDelhaize店舗も問題を報告した。

イタリアでは、シチリアでCoopブランドの店舗を運営するRadenza Groupが、攻撃は現地時間の午前4時に始まり、冷凍食品部門の遠隔制御システムを標的としたと述べた。アイルランドのMusgraveは13のSuperValu店舗が影響を受けたと報告し、Mosqueteirosはポルトガルの7つのIntermarché店舗での事案を確認した。

50°C(122°F)では、冷凍庫は安全な動作温度をはるかに超えている。そのような状態に長時間置かれた食品は急速に腐敗し、細菌が繁殖する可能性がある。

スウェーデンでは、Coopは約800店のうち6店が影響を受けたと述べ、同社は被害店舗が4G接続を使用しており「より露出が大きかった」と説明した。Icaは限られた数の店舗で問題が発生し、被害店舗は外部のDanfoss制御システムを使用していたと述べた。スウェーデンのどちらのチェーンも、これらの事案がサイバー攻撃によるものだと確認していない。フィンランドの小売業者Keskoは、ネットワークへの干渉の可能性も排除していないと述べた。

EU農業担当コミッショナーのクリストフ・ハンセンは、この一連の事案を食品供給網を混乱させる「意図的な試み」だと述べた。捜査当局は、月曜日の事案がフランスでの先行攻撃と関連しているかどうかを確定していない。

エストニアの冷凍・冷蔵設備企業Kitman Coldtechは、被害を受けたユニットはフランスで攻撃されたものと類似した旧型のDanfossモデルだったと述べた。CERT-FRは、サポート終了を迎えたデバイスをセキュリティパッチのない状態でインターネットに接続したままにすることは、侵入のリスクが非常に高いと警告した。

Clarotyの研究者らは8月、Danfoss AK-SM 800Aコントローラーの脆弱性を報告しており、その中には認証バイパスの欠陥が含まれていた。AK-SM 800Aシリーズはスーパーマーケットの冷凍・冷蔵システムの監視と管理に使用されており、Clarotyは2,765台の同デバイスがオンラインに露出していることを確認した。DanfossはファームウェアR4.3.1でこれらの脆弱性に対処したが、攻撃者がどの弱点を悪用したかは依然として不明である。

CERT-FRは、コントローラーを公開インターネットから切り離すよう事業者に勧告している。Sabcobelの最高経営責任者(CEO)は、多くの旧型ユニットには投資を伴う物理的な改造が必要だと述べた。それらの変更が行われるまで、最も古いシステムには現実的な技術的解決策がない可能性がある。CERT-FRは、イタリアが火曜日のサイバーセキュリティ会議に備える中、キャンペーンは現在も活動している可能性が高いと述べた。

出典:Decrypt。