冷凍庫ハッキングは世界へ:各国政府の注意喚起と、制御装置を遠隔管理する全拠点向けリモートアクセス点検リスト

欧州のスーパーマーケットの冷凍・冷蔵設備が攻撃された件を最初に取り上げた時点では、犯行声明を出した者も、名指しされた者もいませんでした。それから1週間で状況は大きく動いています。フランスの検察は、イスラム革命防衛隊(IRGC)に関係するグループを公式に疑っていると発表しました。米国の複数機関は共同で注意喚起を出し、シンガポールと日本は事業者に自社設備の確認を求め、タイは関係機関に監視を指示するとともに、輸出企業に冷凍・冷蔵のサイバー対策の強化を促しています。

攻撃者の特定は「疑い」の段階であり、そのように受け止める必要があります。一方、技術的な助言は別です。各国の内容はほぼ一致しており、スーパーに限らず広く当てはまります。保守業者がインターネット経由で制御装置にログインできるなら、その装置は食品の冷却用でも、チラーでも、工場の加熱用でも、御社の攻撃対象領域に含まれます。

本稿では、変化した点、各国の勧告に共通する点、そして保守業者と情報システム部門に確認すべき8つの質問を整理します。

日本の事業者にとっての意味

内閣官房の国家サイバー統括室は、2026年11月9日に、産業用の冷凍・冷蔵設備やコールドチェーン監視システムを運用する事業者へ注意喚起を行いました(Business+ITの報道による)。求めている内容は次のとおりです。

• 自社や委託先の設備が外部から接続できる状態になっていないかを調査する
• 初期パスワードの変更とアクセス権限の見直しを行う
• 温度異常が起きた際に、現場の責任者へ速やかに通報される体制を整える

タイの日系食品・物流拠点にも関係します。タイ貿易振興局(DITP)によれば、EUはタイの第4位の輸出先で、2026年1〜9月の対EU輸出は241億2,700万米ドル(前年同期比23.4%増)でした。DITPは、冷凍シーフードや冷凍加工鶏肉が最も影響を受けやすいとみています。報告時点でタイ企業の注文取り消しは確認されていません。DITPは、輸出企業にIoT温度センサー、データロガー、輸送中の温度記録の整備と、サイバー攻撃による損害を補償する輸送保険の検討を勧めています。なお、今回確認した報道には、タイ国内の冷凍・冷蔵設備への攻撃を伝えるものはありませんでした。

最初の記事以降に変わった点

• 被害は当初の報道より大きかった。 パリ検察は、10月11日の攻撃がフランス国内の700店舗に及び、大量の食品が傷み、約20件の火災が起きたと発表しています。
• 疑いのあるグループが示されたが、あくまで疑い。 検察は、この攻撃は外国勢力(イラン)のために行われたとし、IRGCのサイバー部隊を挙げています。根拠として、攻撃手法、ペルシャ語の使用、イラン国内の機器に遡るIPアドレスを挙げています。捜査対象は「Shahid Kaveh」というグループの責任者と副責任者2人で、個人名は公表されていません。これは捜査中の主張であり、結論ではありません。IPアドレスの所在地だけでは操作した人物を特定できず、報道ではイラン側の即時の反応は伝えられていません。また、フランス、ベルギー、スウェーデン、米国の事案がすべてつながっているとは当局も述べていません。
• 他の低温保管施設も狙われた。 別の攻撃として、フランスの複数の血液バンクが標的になりました。報道では製品や検体に被害はなく、スーパーの事案との関連も示されていません。
• 米国が11月5日に共同勧告を発出した。 CISA、FBI、HHS、USDA、運輸省は、パッチ未適用またはインターネットから到達できる冷凍・冷蔵コントローラーが悪用されており、加熱や霜取りを継続させられるおそれがあるとしています。実際の温度が見えなくなる「denial-of-view」にも注意を促しています。
• アジアも動いた。 SingCERTが11月6日に勧告を公表し、日本は11月9日に上記の注意喚起を出しました。
• 露出は続いている。 Forescoutは、10の製品グループにわたり、インターネットに公開された12,976件のサービスを、99の国・地域の6,017個のグローバルIPアドレス上で確認しました。また、同社のDaniel dos Santos氏はInsurance Journalが掲載した報道の中で、11月2日の事案の前週時点で、脆弱性のおそれがあるDanfossシステムがなお5,000近くインターネットに公開されていたと述べています。

各国の勧告の共通点

発信元	日付	主な要請
CERT-FR(フランス)	10月12日以降	パブリックIPを持つ制御装置を切り離す。設定を確認したうえで、安全なVPN経由でのみ再接続する。IPアドレスの許可リストは緊急措置であり、恒久策ではない。
CISA、FBI、HHS、USDA、DOT(米国)	11月5日	制御盤をインターネットに公開しない。OT機器を専用VLANに分離する。初期パスワードを変更し、フィッシング耐性のある多要素認証を使う。サポート終了機器を更新・廃止する。設定変更できる対象を許可リストで絞る。オフラインのバックアップを持つ。ログを取り、設定温度の逸脱を警報にする。
SingCERT(シンガポール)	11月6日	インターネットから到達できるOTインターフェースを棚卸しする。VPN、多要素認証、IP許可リストを使う。パッチを適用する。OTとITを分離し、遠隔アクセスと設定変更を監視する。手動運転への切り替えを含む、検証済みの継続計画を持つ。
国家サイバー統括室(日本)	11月9日	自社と委託先の設備が外部から接続可能か調査する。初期パスワードの変更とアクセス権限の見直し。温度異常が現場責任者へ通報される体制の整備。
DITP(タイ)	11月5〜6日	輸出企業向け:IoT温度センサー、データロガー、輸送中の温度記録。サイバー攻撃の損害を補償する輸送保険の検討。

スーパーだけの問題ではない

これらの勧告は冷凍・冷蔵設備について書かれていますが、構図はより広範です。SingCERTは、エネルギー・公益、水処理、製造、ビル管理・空調、冷蔵倉庫・物流、医療施設管理を挙げています。Field Effectの分析は、同じ遠隔管理の仕組みが、空調、配電、ポンプ、データセンターの冷却にも使われており、保守業者が設置した制御装置は社内のIT資産台帳に載っていないことが多いと指摘しています。

工場、冷蔵倉庫、食品輸出企業にとって、問いは単純です。外部の第三者が遠隔から変更できる設備はどれか、そして変更されたとき誰かが気づくのか、ということです。

保守業者と情報システム部門への8つの質問

最初の記事では6つの簡易チェックを挙げました。今回はもう一段掘り下げます。

1. 制御装置は誰のもので、どの台帳に載っているか。 保守業者が設置した装置はIT台帳から漏れがちです。すべての装置について、機種、ファームウェア、拠点、管理用アドレス、保守担当者を出してもらってください。
2. パブリックIPアドレスで応答する管理画面はないか。 保守業者に書面で確認し、自社のIP範囲も自ら調べます。CERT-FRとCISAが最初に取り除くよう求めている点です。
3. 共有アカウントや、使われなくなったアカウントはないか。 Forescoutは、個人ごとのアカウントと多要素認証、そして関係のなくなった担当者の権限の削除を勧めています。
4. 閲覧専用のアカウントで霜取りスケジュールを変更できないか。 Forescoutは、機能単位で権限を絞り、警報を確認する担当者が既定では設定を書き換えられないようにすることを提案しています。
5. 設定温度の上限・下限と、逸脱時の警報はあるか。 CISAは、下流機器に妥当な上下限を設け、逸脱を警報にするよう求めています。攻撃者が実際の値を見えなくすることもあるため、独立した温度センサーと別系統の通報経路を持ってください。Forescoutも、アクセス制御は工学的な安全策と独立した監視で裏打ちすべきだとしています。
6. 遠隔セッションのログを取り、設定変更と突き合わせられるか。 Forescoutは、遠隔セッションを記録し、設定温度や霜取りの変更と照合することを勧めています。
7. インシデント対応計画は物理プロセスを考慮しているか。 Forescoutは、制御装置の自動隔離がかえって損害を生むことがあると警告しています。SingCERTは、隔離と手動運転への切り替えを含む検証済みの計画を求めています。誰が手動に切り替える権限を持ち、在庫をどこへ移すかを事前に決めてください。
8. 契約と保険は何をカバーするか。 タイ首相は商務省に与信条件と貿易保険の見直しを指示し、DITPはサイバー被害を補償する輸送保険を勧めています。遠隔操作による廃棄損失の請求がどう扱われるか、保険ブローカーに確認してください。

監視が役立つ点と、役立たない点

まず設定の見直しが先です。外部公開を閉じ、アカウントを整理し、上下限を決める。そのうえで、監視は「異常が起きてから人が気づくまで」の時間を短くします。

simpliSOCは、Wazuhをベースにした監視基盤です。ファイアウォール、VPN、サーバー、エンドポイントのログを取り込み、50を超えるカスタム検知ルールを適用し、ログの送信が途絶えたときにも警報を出します。質問3と6のアクセス面、つまり誰がどこから、いつVPNに接続したかの確認に向いています。

限界は前回と同じです。simpliSOCのページにOTやIoTへの対応は記載されておらず、冷凍・冷蔵の制御装置の多くは監視エージェントを動かせません。制御装置のログや温度値を監視に取り込む作業は、御社の拠点ごとに範囲を決めて対応するもので、標準機能ではありません。監視は気づくまでの時間を短くしますが、特定の攻撃を防ぐものではありません。

ご相談ください

保守業者が遠隔からどの設備に、どの方法で接続できるかをお知らせください。最初に何を確認し、何を監視するかをお伝えします。範囲の確認のための短い打ち合わせから始められます。

• メール: hello@simplico.net
• 電話: (+66) 97496 6397

監視以外のネットワーク設計やシステム連携のご相談は、システム設計・コンサルティングをご覧ください。

よくある質問

攻撃者は特定されましたか。
いいえ。フランスの検察は、攻撃手法、言語、IPアドレスを根拠に、IRGCに関係するグループを疑っています。これは捜査中の主張であり、個人は特定されていません。FBIの警告は活動を一般的な形で説明しており、フランスの攻撃の実行者を特定してはいません。

日本やタイで攻撃はありましたか。
今回確認した報道には見当たりません。タイ首相は海外の報道を未確認としたうえで、関係機関に監視を指示しました。日本の注意喚起は事業者に自社設備の確認を求めるものです。どちらも予防的な対応であり、被害報告ではありません。

保守業者が遠隔接続を必要としているため、止められません。どうすればよいですか。
止める必要はありません。CERT-FRの方針は、公開状態をなくし、設定を確認したうえで安全なVPN経由で再接続し、IP制限はつなぎの措置にとどめることです。CISAは、多要素認証、OT機器用の分離ネットワーク、設定変更できる人の限定を加えています。

冷蔵倉庫を借りて保管しているだけでも関係しますか。
関係する可能性があります。運営者に、制御装置を誰が管理し、どのように接続し、どのような警報が自社に届くかを確認してください。輸出企業向けのDITPの助言(センサー、データロガー、温度記録)は、どの場合でも実行する価値があります。

出典

• Iran behind France grocery store refrigerator and freezer hacks, prosecutor says, CBS News
• US Government Partners Urge Hardening Industrial Refrigeration and Cold Chain Monitoring Systems, CISA / FBI / HHS / USDA / DOT, 2026年11月5日 (PDF)
• Advisory on Cyberattacks Targeting Remotely Accessible OT Control Systems, SingCERT AD-2026-014
• Unplug your smart fridges: French supermarkets warned after cyberattack, CSO Online
• In Cold Chain, Open Control, Forescout Research – Vedere Labs
• Supermarkets Across Europe Report New Suspected Freezer Hack, Insurance Journal, 2026年11月2日
• Security challenges of connected operational technology, Field Effect
• DITP tracks export risks after reported freezer hacks at about 700 French sites, The Nation Thailand
• Anutin orders cyber threat checks to protect Thailand’s food supply chains, Pattaya Mail
• 冷蔵庫へのサイバー攻撃に日本政府が注意喚起, Business+IT