2026年10月12日、フランスのスーパーマーケットで冷蔵・冷凍設備がサイバー攻撃を受け、霜取り機能の悪用で庫内が50℃近くまで上がった。被害に含まれるDanfossの旧型制御装置には2023年に認証回避の問題が報告され、メーカー自身が2022年のロシア・イスラエルでの攻撃も把握していた。安全のための規制がサポート終了の理由になるという構造を押さえたうえで、長期間使う設備を誰がいつまで守るのかを、パナソニック・ホシザキの例と我が家の冷蔵庫・エアコンまで引いて考える。
2026年10月12日、フランスのスーパーマーケットで、冷蔵・冷凍設備がサイバー攻撃を受けました。
冷蔵設備の温度が50℃近くまで上昇し、大量の食品が廃棄されました。
攻撃者が悪用したとされるのは「霜取り」機能です。冷却器についた霜を溶かすため、本来は正常に備わっている機能です。
報道によれば、攻撃者は霜取りの設定温度を引き上げ、通常1時間の運転時間を8時間に延長していました。
日本のテレビでは、古いソフトウェアが更新されていなかったことが問題として説明されていました。
確かに問題ですが、調べてみると、もっと複雑な事情がありました。
今回被害を受けた設備には、Danfossというメーカーの冷蔵制御装置が含まれています。
その旧型機種SM800には、2023年に深刻な認証回避の問題が発見されていました。
通常、管理画面に入るにはIDとパスワードが必要です。
ところが、この装置には日付から計算した5桁のコードで認証できる仕組みがあり、その計算に必要な日付情報も認証なしで取得できました。
つまり、パスワードを盗まなくても、認証を通過するコードを作れてしまうのです。
これまで不正アクセスを「鍵・鍵穴・地図」で考えてきました。
今回の場合、管理画面という鍵穴を見つければ、その仕組みから合鍵を作れる可能性があったわけです。
Synacktivが2023年に発見した問題ですが、Danfossは対象製品がサポート終了済みとして、修正版ではなくネットワークアクセスを制限する対策を案内しました。
なお、この脆弱性が今回の攻撃に使われたと確認されたわけではありません。
フランス当局も侵入経路をまだ特定していません。
さらに驚いたのは、Danfoss自身が2025年10月に公開していた技術文書です。
そこには、同じAK-SM 800が過去にも攻撃されていた記録がありました。
2022年、ロシアの16店舗。
同じ年、イスラエルの40店舗。
イスラエルの被害店舗には適切なファイアウォールやVPNによる保護がなく、すべてAK-SM 800を利用していました。
メーカーが推奨した対策は、後継機種AK-SM 800Aへの交換でした。
そして今回のフランスです。
同じ旧型の制御装置が、再び被害に含まれています。
過去の攻撃と今回の侵入方法が同じかは分かりません。
しかし、メーカーも過去の被害と危険性を認識し、交換を推奨していたことは確認できます。
ここが今回、最も考えさせられた部分です。
Danfossは2025年10月の技術文書で、EUのREDなどのサイバーセキュリティ規制や標準への対応を説明しています。
旧型製品は現在の規制やセキュリティ要件を満たせず、サービスを継続すると、メーカー自身がセキュリティ更新を維持する新たな法的義務を負うことになる。
そのため、サポートを全面終了するという方針です。
AK-SM 800は2021年5月に製品寿命終了となっていました。その後も一部の更新は提供されていましたが、これも打ち切るとしています。
古い設備のファームウェアを技術的に一切更新できないという意味ではありません。
メーカーが、今後のサービスを提供しないと決めたのです。
製品を安全にするための規制に対応しようとすると、古い製品のサポートを終了する判断につながる。
一方、冷蔵設備は何年も、場合によっては十数年以上使われます。
ソフトウェアのサポートが終了しても、設備そのものは動き続けます。
メーカーに永久のサポートを求めるのは現実的ではありません。
だからといって、サポートが終了した翌日から、設備を安全に使う責任が消えるわけでもありません。
一度販売した設備に脆弱性が発見されたら、どう対応するのか。
少なくとも、次のような仕組みが必要だと思います。
| 段階 | 求められる対応 |
|---|---|
| 製品販売時 | セキュリティ更新の提供期間を明示 |
| 脆弱性発見時 | 修正版、または具体的な回避策を提供 |
| 修正できない場合 | ネットワーク隔離、監視などの補完策を提示 |
| サポート終了時 | 残る危険を通知し、安全な交換・移行方法を用意 |
| 運用継続時 | 利用者・保守業者が対策を維持し、交換を計画 |
今回、フランス当局CERT-FRが最初に求めたのも、管理画面をインターネットから切り離すことでした。
修正できない装置でも、外部から到達できないようにする対策は取れます。
しかし、その対策を誰が何年間維持するかまで決めておかなければ、同じ問題が繰り返されます。
これはフランスだけの話ではありません。
日本でも、業務用冷蔵設備がインターネットにつながり、遠隔監視や制御が行われています。
例えば、パナソニックの「エスクーボアイ」は、冷凍機やショーケースの運転情報をクラウドで収集し、省エネ制御に利用しています。
では、こうした設備に脆弱性が見つかった場合、どう対応するのでしょうか。
パナソニックは製品の脆弱性対応窓口「Panasonic PSIRT」を設けています。
問題が報告されると開発部門と連携して検証し、適切な対策を進める方針を公開しています。CVE番号の割り当て機関としても活動しています。
一方、業務用冷蔵設備について、何年間セキュリティ更新を提供するのかは、今回確認した公開資料では分かりませんでした。
もう一つ、興味深いのがホシザキです。
同社は2024年、業務用冷蔵庫などの稼働情報や温度をクラウドで管理する「ホシザキ コネクトWi-Fi」を提供開始しました。
そのIoT接続部分にMicrosoftのAzure Sphereを採用しています。
採用理由の一つが、10年間のセキュリティアップデートでした。
OSやソフトウェアの脆弱性が放置されやすいIoT機器で、長期間の更新を設計に織り込んだ取り組みです。
ただし、これは接続用モジュールに関する説明であり、冷蔵庫本体のすべてのソフトウェアを10年間保証するという意味ではありません。
そして、ここにも製品寿命の問題がありました。
Microsoftは2026年3月、Azure Sphereの初代製品の終了を発表しています。OSやセキュリティサービスの延長サポートは2031年7月31日までです。
つまり、長期間の更新を考えて採用した外部のプラットフォームにも、終了日があるのです。
ホシザキの製品が直ちに危険だという話ではありません。
むしろ、メーカーが長期の安全性を考えても、部品やクラウドを提供する企業のサポート方針に影響されることが分かります。
脆弱性が発見されたら修正する。
修正できなくなったら、いつ、誰に、どのように知らせ、安全に使い続ける方法を提供するのか。
メーカーには、その方針と期間を製品ごとに示してほしいと思います。
ここまで調べて、我が家の冷蔵庫が気になりました。
シャープ製です。
今では家庭用冷蔵庫もWi-Fiにつながり、クラウドやスマートフォンアプリと連携します。
パナソニックをはじめ、各社がネット接続型の家電を販売しています。
エアコンなら、外出先から運転を開始・停止したり、設定温度を変えたりするのは、すでに当たり前の機能になりました。
もちろん、家庭用家電と業務用冷蔵設備は設計が異なります。今回と同じ脆弱性があるという話ではありません。
しかし、クラウドのアカウントや認証情報を奪われた場合、どうなるのでしょうか。
正規ユーザーとして送られてくる命令で、冷蔵庫の冷却を止めたり、エアコンの運転を停止したりできるのでしょうか。
真夏に高齢者やペットのために動かしているエアコンなら、人の安全にも関係します。
メーカーには、十分に考えて設計してほしいと思います。
認証を守ることと、設備を安全に動かすことは別の問題です。
仮に認証を突破されても、危険な動作は本体側で拒否する。
温度異常は、外部の管理システムとは独立して検知する。
そして、その安全性を製品の寿命まで維持する。
インターネットにつながる便利さは、これからも増えていくでしょう。
その一方で、冷蔵庫は食品を安全に冷やすためのものです。エアコンは、人が安全で快適に過ごすためのものです。
ネットにつながったことで、その本来の役割まで外部から壊されるようでは困ります。
Aikido Community Japan
公開日: 2026/10/14
最終更新: 2026/10/14
セキュリティの最新情報をお届けします。