なぜ冷凍庫にヒーターがあり、ハッカーはそれを入れ続けるのか

2026年11月2日の夜、スウェーデンの小さな町シェーボにあるスーパー「ICA Kvantum」で、冷凍ケースが温まり始めた。朝になると店はFacebookで、冷蔵・冷凍ケースがハッキングされて50°C（122°F）に設定された、該当する商品はスタッフが廃棄していると客に知らせた。同じ夜、さらに4カ国の数十店舗で同様の故障が起きたとAP通信が報じている。

これで3度目の波だ。8月には米軍基地内の店舗で冷蔵庫が同じように故障し、米国防総省はサイバー攻撃の可能性があるとみている。10月にはフランスのスーパー約700店が被害を受けた。いちばん奇妙なのは、誰も冷却装置を壊していないことだ。攻撃者がオンにしたのは、どの陳列用冷凍ケースにも最初から備わっているもの、つまり内蔵ヒーターだった。しかも1カ月前の時点で、インターネットからアクセスできたフランスの冷凍設備制御パネルの大半は、カレンダーさえあれば誰でも管理者パスワードを割り出せる状態だった。

冷凍庫にヒーターがある理由

店内の空気は湿っている。その空気が陳列ケース内部の冷たいコイルに触れると、水分が霜となって付着する。霜は冬のコートのようなもので、厚くなるほどコイルの冷やす力は落ちていく。そこで業務用冷凍庫は、決まった時間に自分で霜取りをする。ヒーターが入って霜が溶け、水が排出され、ケースは再び冷凍に戻る。スウェーデンのビジネスメディアDagens PSによれば、通常これにかかるのは1日あたり約2時間だ。

攻撃者はコントローラーに霜取りを休みなく続けさせ、ヒーターの設定温度を50°Cに引き上げた。ル・モンド紙によると、フランスの一部の店舗では、1回の霜取りサイクルを1時間から8時間に延ばしてもいた。こうして警報が鳴るのを遅らせ、被害が広がる時間を稼いだのだ。

監視の目があった場所では、攻撃はすぐに見つかった。AP通信によれば、エストニアではサービス会社Kitman Coldtechが、顧客の冷凍設備を動かすコンピューターに侵入者がいるのを発見した。攻撃者はすでに温度を同じ50°Cまで上げていた。CEOのヤン・ムツォによれば、事態は数分で収まり、大きな被害は出なかった。

どの見出しにも「50°C」が躍ったが、これはヒーターの設定値であって、棚の温度ではない。Dagens PSの報道では、フランスのあるアイスクリーム用冷凍ケースの表示は26°C（79°F）だった。もっとも、アイスクリームにしてみれば大差はない。冷凍食品は−18°C（0°F）以下に保つのが決まりで、−15°Cまでの短時間の上昇は許容されるが、それより温かくなれば販売できない。だから店は丸ごと廃棄した。ブルターニュ地方ミュール＝ド＝ブルターニュのアンテルマルシェ店は「生鮮品はすべて廃棄せざるを得ませんでした（精肉コーナーも含めて）」と書いている。

8月から3度の波

最初に似た事例が出たのは、ヨーロッパの外だった。ロイターの調べでは、2026年8月下旬、米軍基地内の少なくとも6店舗で冷蔵設備が故障した。8月26日、アリゾナ州のフォート・フアチューカは、冷蔵庫が勝手に霜取りモードに切り替わり、食品が傷むまで温めてしまったと発表した。基地でどこの機器が使われていたのか、ロイターは突き止められなかった。

10月11日から12日にかけての夜、同じことがフランスで、しかも数百店舗で同時に起きた。ロラン・レスキュール経済・財務相は、国内1万店のスーパーのうち約700店が被害を受けたと議会で述べた。「容認できない」と、コーペラティヴUのドミニク・シェルシェールCEOは書いた。Dagens PSの試算では、アルザス地方アグノーのスーパー2店だけで、合わせて27万ユーロ（約30万ドル）分の食品が失われた。アンテルマルシェは、自社店舗のこうした被害は保険の対象外だと警告した。パリ検察は、損害や一部店舗での火災の報告も含めて、この攻撃を捜査している。

フランスのサイバーセキュリティ機関は緊急警報で、機器のメーカーとしてデンマークのDanfossを名指しした。翌日にはさらに2社のメーカーを加え、攻撃はおそらくまだ続いていると警告した。3週間後、その警告は正しかったことがわかる。11月2日、ベルギー、ルクセンブルク、アイルランドでDelhaize、Carrefour、SuperValuの数十店舗が攻撃されたのだ。アイルランドの店舗は、夕方には冷蔵ケースに商品を補充し直していた。

カレンダーから生まれるパスワード

Danfoss AK-SM 800Aは、事実上、店舗の冷凍設備全体を束ねるマスターパネルだ。スタッフはウェブページを通じてすべての回路を監視し、温度の上下限を設定し、霜取りのスケジュールを変え、設定を遠隔で直す。かつて冷凍設備はインターネットから切り離されていたが、いまはセンサーや遠隔監視のためにつながっている、とサイバーセキュリティコンサルタントのアントワーヌ・オタンはAFPに語った。サービス会社は、自社のオフィスにいながら、全顧客のケースを監視できる。

産業用サイバーセキュリティ企業Clarotyの研究者は、このパネルに隠された「今日のコード」を見つけた。機器がその日の日付だけをもとに毎日計算するサービス用パスワードだ。その計算手順を再現すれば、本当のパスワードを知らなくても管理者としてログインできる。研究者たちはこの穴を報告し、Danfossは2025年3月、ファームウェア4.2でそれをふさいだ。Clarotyのアミール・ザルツマンは2026年8月9日に詳しい解説を公開した。

更新する時間は1年半あった。だが、実際に更新した所有者はわずかだった。攻撃前日の10月11日、機器検索エンジンのCensysは、フランス国内でインターネットから直接アクセスできるこのパネルを1825台数えた。そのうち1158台はファームウェアが4.2より古く、カレンダーのパスワードがまだ通る状態だった。攻撃者がまさにこの穴を使ったのかは誰にもわからない。Danfossもフランス当局も、侵入経路を明らかにしていないからだ。

古い機種はさらに状況が悪い。Danfossによれば、被害を受けた機器の大半はAK-SM 800とAK-SC 355のシステムだった。前者のサポートは2021年5月に終了し、後者は2016年に販売が終わっている。どちらも更新はまったく届かないが、店はなかなか買い替えない。システムは何年ももつうえ、値が張るからだ。

身代金の要求はなかった

ふつうのハッキングは金になる。攻撃者はデータを盗むか暗号化し、金を要求する。ところが今回は何も盗まれず、身代金も求められず、犯行声明もなかった。これほど大規模な攻撃としては異例だと、バージニア・コモンウェルス大学のクリストファー・ホワイトは指摘する。実行するのは「それほど難しくない」と彼は言う。なぜこんなことをするのかは、まだ誰にもわからない。

この手口はまったく新しいわけではない。Danfossがロイターに語ったところでは、2022年にも攻撃者が同社の旧式コントローラーを使って、ロシアとイスラエルのスーパーを攻撃していた。新しいのは規模だ。一晩で数百店舗、そしていまや複数の国に及ぶ。Google脅威インテリジェンスグループのチーフアナリスト、ジョン・ハルトクイストはこう表現した。「食料を私たちのもとへ届ける複雑なシステムはもろいのに、それに見合う注意を向けられないことが多い」

パッチは当てず、プラグを抜いた

10月の攻撃の後、所有者たちは慌てて動いた。3日間で、インターネットから見えるフランスのコントローラーは1825台から537台へと71%減った。だが、パッチ済みの機器も未適用の機器も同じ割合で減っていた。つまり大半のパネルは、ファームウェアには手をつけず、ただネットから外されただけだった。Censysは、それがおそらく最善の選択だったと言う。そもそもこうした機器がインターネットに直接さらされている理由はないからだ。フランスの機関も同意見で、遠隔アクセスを戻すなら安全なVPN経由に限るよう勧めている。

こうしたパネルがそもそもどれほど更新されていないかを示す数字がある。10月11日、Censysは世界中でインターネットから見えていた約3000台のパネルのうち、Danfossの最新ファームウェア5.3.2が入っていたのは27台、1%未満だと突き止めた。侵入経路は明かされず、動機もわからず、11月の一件は攻撃がまだ止まっていないことを示した。次の波がどれほど大きくなるかは、いまもインターネットにさらされたままのパネルがどれだけあるかにかかっている。