仏スーパーの冷蔵設備がサイバー攻撃で最大50℃に加熱、Danfoss製コントローラー侵害で数千万ユーロ規模の食品廃棄被害

要点

• フランス国内の複数のスーパーマーケットで冷蔵・冷凍設備がハッキングされ、庫内が最大50℃まで加熱される被害が発生した。

• 侵入されたのはDanfoss社製の管理コントローラーで、サポート終了済みの旧機種や未更新の現行機が標的となった。

• 被害は数百店舗規模に及び、商品の大量廃棄を強いられたチェーンもあり、フランス全体で数千万ユーロの損失が見込まれている。

• フランス政府のサイバーセキュリティ機関CERT-FRは、該当機器をインターネットから直ちに切断するよう緊急警告を出した。

• 2026年10月11日夜、フランス国内の数百店舗のスーパーマーケットで、冷蔵・冷凍設備の管理システムが不正操作されるサイバー攻撃が発生した。設備が強制的に加熱されて食品の大量廃棄を余儀なくされ、国内全体で数千万ユーロ規模の損失が生じる見通しだという。フランス政府のサイバーセキュリティ機関CERT-FRは翌12日にアラートを発令し、侵害が確認されたデンマークDanfoss（ダンフォス）社製コントローラーの即時切断を求めている。

庫内が50℃に達し全品廃棄も——大手スーパー各社に及んだ被害

今回の攻撃では、店舗内の冷蔵・冷凍庫を一括管理するコントローラーが第三者に遠隔操作され、機器が強制的に「解凍」モードへ切り替えられた。Intermarché（インターマルシェ）などを傘下に置くLes Mousquetaires（レ・ムスクテール）によると、一部の設備は50℃まで加熱されたという。同社のティエリー・コティヤール会長は現地報道機関BFMTVに対し、国内全体での損失は数千万ユーロに上る見込みだと語り、対象店舗では該当商品をすべて廃棄したと明かした。

被害は各チェーンに広がっている。各社の発表によると、Les Mousquetaires傘下ではAFP通信の報道で少なくとも300店舗、ロイター通信の報道で約150店舗が攻撃を受けたほか、Carrefour（カルフール）でスーパー80店舗、Monoprix（モノプリ）で約30店舗、E.Leclerc（E・ルクレール）でも数店舗が影響を受けた。一方、2,000店舗中80店舗が標的となったCoopérative Uのドミニク・シェルシェCEOはラジオ局RTLに対し、大半の店舗でコールドチェーン（低温を維持する流通管理体制）が保たれ、廃棄はごく少数にとどまったと述べている。

サポート切れの旧機種と古いファームウェアが標的に

攻撃の標的となったのは、保守業者が遠隔管理に使用するデンマークDanfoss社製の冷凍・冷蔵コントローラーだ。同社がAFP通信に説明したところによると、被害を受けた機器の多くはソフトウェアやセキュリティの更新提供が終了した旧製品で、具体的には「AK-SM 800」および「AK-SC 355」の2機種だという。

AK-SM 800は2021年5月にサポート終了（EOL：製品寿命による提供終了）を迎えており、AK-SC 355は2016年に段階的廃止となっていた。Danfoss社は2025年10月にも旧製品への全サービス終了を周知し、顧客へ刷新を求めていた。

さらに現行モデル「AK-SM 800A」の一部も被害を受けた。業界誌『Cooling Post』に対する同社の説明によると、被害機は古いファームウェア（機器の基本制御ソフトウェア）を実行していたという。なお、Danfoss社はロイター通信に対し、影響を受けたシステムは限定的であると認識しているとコメントしたが、10月13日時点で同社の勧告ページに本件の個別アドバイザリは掲載されていない。

当局が緊急のアクセス遮断を指示、攻撃者や侵入経路は依然不明

事態を受け、フランス国家情報システムセキュリティ庁（ANSSI）傘下の緊急対応チーム「CERT-FR」は10月12日にアラートを発令した。Danfoss社のAK-SMおよびAK-SCシリーズで多数の侵害を確認したとし、運用者へネットからの切断やアクセス制限を指示した。ANSSIのヴァンサン・ストルーベル長官も、両シリーズの即時切断や厳格な制限が急務だと訴えている。

CERT-FRは、管理画面をインターネットに直接公開する運用を問題視し、遠隔管理が不可避な場合でも信頼できるIPアドレスのみに限定すべきだとした。また、エネルギー・水道セクター向けに策定された堅牢化ガイドラインの遵守も推奨している。なお、攻撃者の素性や具体的な侵入経路について、フランス当局およびDanfoss社からの公式発表はまだない。