スーパーの冷蔵庫がサイバー攻撃で強制解凍　何が起きたのか

2026年10月11日夜から12日にかけて、フランスの複数のスーパーマーケットで冷蔵・冷凍設備がサイバー攻撃を受けました。報道によると、設備の解凍機能が不正に作動し、一部店舗では庫内の温度が上昇して食品の廃棄が発生しています。

冷蔵庫を管理するコンピューターが攻撃されると、なぜ庫内の温度まで変わるのでしょうか。

大型スーパーでは、複数の冷蔵設備を管理する制御機器が使われています。温度設定や運転スケジュールを遠隔から変更できるため、この管理機能が不正に操作されると、冷却装置の動作にも影響する可能性があります。

フランス政府は今回、冷却・空調機器メーカーDanfossの制御機器に対する多数の侵害を確認しました。さらに、フランスのサイバーセキュリティ当局ANSSIがソフトウェアの脆弱性を把握し、メーカーへ連絡したとも報じられています。

一方、攻撃者が実際に利用した侵入経路や脆弱性の詳細は、2026年10月13日時点で公表されていません。

フランスのスーパーで何が起きたのか

冷蔵設備で報告された解凍機能の異常

被害が報じられたチェーンには、Intermarché、Coopérative U、Carrefour Market、Leclerc、Monoprixなどがあります。

攻撃の対象となったのは、店舗の冷蔵・冷凍設備を管理する制御システムです。セキュリティ専門メディアBleepingComputerや冷却設備の業界専門メディアCooling Postによると、冷蔵設備に備わる解凍機能が不正に作動し、通常の冷却運転が妨げられました。

解凍機能は、冷却器に付着した霜を取り除くためのものです。通常は一定の条件で霜取り運転をして、その後は冷却運転に戻ります。今回の攻撃では、この機能が連続的に作動したと報じられています。

冷却を正常に続けられなくなった店舗では、庫内の温度が上昇しました。生鮮食品や冷凍食品に損失が発生し、販売できなくなった商品を廃棄する対応が取られています。

BleepingComputerによると、パリ検察は、被害企業が報告した食品損失や火災と、今回の攻撃との関係を調べるとしています。火災の発生状況や攻撃との具体的な関係については、公開情報から詳細を把握できていません。

被害店舗数と食品廃棄の規模

被害を受けた店舗の総数は、報道機関によって異なります。

BleepingComputerはフランスのメディアによる報道として250〜350店舗、Cooling Postは約500店舗が影響を受けたと伝えています。いずれも10月12日時点の報道に基づく推計で、確定した総数ではありません。

個別のスーパーでも被害の程度に違いがありました。

Coopérative Uの経営者Dominique Schelcher氏は、同社の約2,000店舗のうち80店舗が攻撃の影響を受けたものの、その大半では食品の低温管理が維持されたと説明したと報じられています。

冷蔵設備の運転に異常が起きても、適切な温度を維持できていれば食品の廃棄を避けられる場合があります。一方、庫内の温度が上昇した状態が続けば、設備が復旧しても商品を販売できないことがあります。

したがって、今回の被害規模には、制御機器への侵害が確認された店舗、設備に異常が生じた店舗、実際に食品を廃棄した店舗という違いがあります。

攻撃の影響はフランス以外にも

今回の攻撃については、フランス国外への影響も報じられています。

The Hacker Newsが10月13日に伝えたところによると、セキュリティ企業Sekoiaの分析官Félix Aimé氏はReutersに対し、スペイン、ポルトガル、ポーランド、ドイツ、ベルギーでも被害が発生したと述べました。

この情報は分析官の発言を伝えた報道によるもので、各国の被害店舗数や設備の状況、攻撃手法などの詳細は示されていません。

また、フランスのANSSIは、他国のサイバーセキュリティ機関とも連絡を取っていると報じられています。

フランス政府がDanfoss製機器への侵害を警告

10月12日、フランス政府のコンピューター緊急対応チームCERT-FRは、公式警報「CERTFR-2026-ALE-012」を公開しました。

警報の対象は、Danfoss製のAK-SMおよびAK-SCシリーズです。CERT-FRは、これらの機器に対する多数の侵害を把握していると説明しています。

Danfossも被害を受けたスーパーとの連絡を取り、対応を進めていることを明らかにしました。

Cooling Postが掲載した同社の声明によると、影響を受けた機器の多くは、サポートが終了した旧製品か、古いファームウェア（機器に組み込まれた基本ソフトウェア）を使用する現行製品でした。

声明では、2021年に製品寿命を終えた旧型のAK-SM800、2016年に段階的に廃止されたAK-SC355、古いファームウェアを使用するAK-SM 800Aなどが挙げられています。

旧型のAK-SM800とAK-SM 800Aは別世代の製品で、サポート状況も異なります。サポートが終了した旧製品には、ソフトウェアやセキュリティの更新が提供されなくなったものがあります。

冷蔵設備を管理するシステムは何をしているのか

Danfoss製制御機器の役割

大型スーパーには、売り場の冷蔵ショーケース、冷凍ケース、バックヤードの冷蔵庫など、多数の設備があります。それぞれの温度や警報を個別に確認するのでは管理が煩雑になるため、複数の設備をまとめて監視するシステムが使われています。

DanfossのAK-SM 800Aは、そのような設備管理を担うコントローラー（制御機器）の一つです。

セキュリティ企業Clarotyの研究チームTeam82によると、AK-SM 800AにはWebブラウザーから利用できる管理画面があり、管理者は次の機能を使用できます。

• 冷蔵回路の監視
• 温度しきい値の設定
• 過去の警報履歴の確認
• 運転スケジュールの変更
• 利用者やアクセス権限の管理
• 遠隔からの保守作業

管理画面で変更した設定は、制御機器を通じて接続先の冷蔵・冷凍設備に反映されます。保守担当者は現場に出向かずに設備を調整できますが、管理機能に不正アクセスされると、同じ仕組みが不正な設定変更に利用されるおそれがあります。

ネットワーク経由で物理的な装置の動作を変更できる仕組みは、冷蔵庫以外にもあります。自動車でも、ネットワーク経由で車両の機能が遠隔操作された事例が報告されています。

Danfossの管理画面で見つかっていた脆弱性

2026年8月9日、Claroty Team82は、Danfoss AK-SM 800Aに関する脆弱性研究の技術的な詳細を公開しました。

脆弱性とは、ソフトウェアの設計や処理に存在し、不正アクセスなどに悪用されるおそれがある欠陥のことです。

研究チームは機器のファームウェアを解析し、管理画面の認証処理や設定変更機能を調査しました。

その結果、通常の管理者パスワードとは別に、日付を利用して認証コードを生成する仕組みが見つかりました。研究者は、このコードの生成方法を解析によって再現し、通常のパスワード認証を回避できる問題を確認しています。

これは脆弱性研究で確認された動作であり、フランスのスーパーにある機器への攻撃を再現したものではありません。

さらに、管理画面に入力された値が適切に処理されず、機器のOS（基本ソフトウェア）へ意図しない命令を実行させる脆弱性も発見されました。

研究で扱われた主な脆弱性には、公開されたソフトウェアの欠陥を識別するためのCVE番号が付けられています。

識別番号	問題の内容	想定される影響
CVE-2025-41450	認証処理の不備	通常のパスワード認証を回避したアクセス
CVE-2025-41451	OSへの命令に関する入力処理の不備	ログイン後に、離れた場所から機器に意図しない命令を実行させる
CVE-2025-41452	Webサーバーの設定変更処理の不備	ログイン後に、管理画面の動作を妨害する

CVE-2025-41451とCVE-2025-41452は、いずれも認証済みの利用者による操作が悪用の前提です。管理画面にアクセスできるだけで、直ちにこれらの脆弱性を利用できるというものではありません。

Clarotyによると、Danfossは報告を受けて修正対応を進め、ファームウェアR4.3.1を公開しました。

CVE-2025-41450については、研究ページの個別情報にバージョン4.2での修正と記載があります。研究ページ内で修正バージョンの表記がそろっていないため、実際の更新ではメーカーの製品別情報を確認することになります。

Clarotyは、インターネット上に公開されたAK-SM 800Aの管理画面も調査しました。インターネットに接続された機器を検索するCensysというサービスを使い、公開状態のAK-SM 800Aが2,765台見つかったと研究資料に掲載しています。

これは調査時点で外部から検出できた機器数で、侵害された機器の数ではありません。

米軍基地でも相次いだ冷蔵設備の障害

複数の米軍基地で発生した冷蔵設備の停止

フランスの事件が報じられる約1か月半前の2026年8月末、アメリカでも複数の軍基地で冷蔵設備が相次いで停止する出来事がありました。

影響を受けたのは、米軍基地内にあるCommissaryと呼ばれる売店です。軍人やその家族、利用資格のある退役軍人などが食品や日用品を購入する施設で、一般のスーパーと同様に冷蔵・冷凍設備を備えています。

Military Timesは8月28日、米国内の少なくとも7つの基地で障害が報告されたと伝えました。報告された施設には、カリフォルニア州のFort Irwin、アリゾナ州のFort Huachuca、ワイオミング州のF.E. Warren空軍基地などが含まれています。

Fort Irwinでは牛乳や卵などの販売を停止し、一時的に常温保存できる商品だけを販売する対応が取られました。Fort Huachucaでは、基地側がすべての冷凍庫が解凍モードに入り、冷凍食品が損なわれたと説明しています。

国防総省の担当者は、一部の軍基地売店で冷蔵設備の障害が発生している可能性を認識していると述べました。食品の損失を抑えるため、商品を別の温度管理された場所へ移動させるなどの対応も報じられています。

Bruce Schneier氏が指摘した攻撃の可能性

短期間に複数の軍基地で似た障害が起きたことから、サイバー攻撃を疑う声が出ました。

セキュリティ研究者のBruce Schneier氏は8月31日、自身のブログで、米軍の冷蔵庫がハッキングされているように思えると述べています。

Schneier氏は、複数の基地で同時期に障害が重なった一致を、ハッキング以外で説明するのは難しいとしながらも、現時点では推測であると明記しました。

9月1日には、米陸軍犯罪捜査部門のサイバー担当部署や空軍特別捜査局などが調査に関与していることが報じられました。当時、捜査機関は障害の原因や調査内容の詳細を公表していません。

その後、9月30日にはドイツと英国の米軍基地にある4店舗でも冷蔵設備の停止が報じられました。米国防コミッサリー庁（DeCA）は、こちらの障害について設備の故障と交換部品の調達遅れが原因であり、8月に米国内で発生した障害とは無関係だと説明しています。

フランスでは制御機器への侵害が確認され、米国内の軍基地では原因の調査が行われ、欧州の4店舗では設備故障という説明が示されました。冷蔵設備が同じように停止した場合でも、原因の確定状況は異なります。

暖房や水道設備を狙ったサイバー攻撃

ウクライナで600棟以上に影響したFrostyGoop

2024年1月、ウクライナの地域暖房施設がサイバー攻撃を受け、600棟以上の集合住宅への暖房供給に影響が及びました。

ウクライナ保安庁（SBU）から事件の詳細の提供を受け、産業制御システムのセキュリティを専門とするDragosが分析しました。

Dragosによると、攻撃されたのは地域暖房を供給する事業者の設備で、復旧には約2日を要しました。住民は氷点下の気温が続く中、暖房停止の影響を受けています。

Dragosは、この攻撃に「FrostyGoop」と呼ばれるマルウェアが関与したと評価しています。マルウェアとは、コンピューターや設備のシステムに不正な動作をさせるソフトウェアです。

FrostyGoopは、Modbus TCPという産業設備で使われる通信方式を利用し、制御機器へ不正な命令を送ったり、設定値を変更したりする機能を持っていました。

Dragosは、FrostyGoopに加えて、インターネット上に公開されていた産業制御機器が攻撃を容易にしたと評価しています。

ポーランドの水処理施設への侵入

2026年5月、ポーランドの国内情報機関ABW（Agencja Bezpieczeństwa Wewnętrznego）は、2024〜2025年の活動をまとめた報告書を公開しました。

ABWの報告書によると、2025年に国内5カ所の水処理施設でセキュリティ侵害がありました。

一部の施設では攻撃者が産業制御システムへアクセスし、設備の技術的な設定値を変更できる状態にありました。ABWは、こうした侵害が給水の継続に直接的なリスクを生じさせたとしています。

報告書には、5施設すべてで断水や水質汚染が発生したとの記述はありません。

冷蔵設備のセキュリティ対策

管理画面の公開とアクセス制限

冷蔵設備の管理画面がインターネットへ直接公開されていると、外部からの不正アクセスの対象になります。認証処理に脆弱性が存在する場合、攻撃者が管理機能へアクセスできる可能性もあります。

フランスのCERT-FRは今回の警報で、冷蔵制御機器の管理インターフェースをインターネットへ直接公開することは、適切なセキュリティ運用に反すると指摘しました。

そのうえで、AK-SM・AK-SCシリーズへのアクセスを遮断、または制限するよう求めています。

遠隔管理が不可欠な場合の暫定措置としては、信頼できるIPアドレスだけにアクセスを限定する方法を挙げています。IPアドレスとは、ネットワーク上で通信相手を識別するための番号です。

古いファームウェアと製品の更新

冷蔵設備の制御機器には、運転管理用のソフトウェアやWebサーバーなどが組み込まれています。これらに脆弱性が見つかった場合、メーカーが修正版を提供していても、機器側で適用しなければ問題は残ります。

Danfossは、サポート対象製品への更新の提供を続けており、旧製品については現行世代への移行を推奨していると説明しました。

施設管理者は、使用中の機器の型番、ファームウェアのバージョン、メーカーのサポート状況を把握したうえで、製品ごとに適用できる修正や更新方法を確認することになります。

侵害が疑われる場合の復旧

すでに制御機器が侵害された疑いがある場合、CERT-FRはネットワークからのアクセス制限に加えて、次の復旧対応を推奨しています。

1. 機器を工場出荷時の状態に初期化する。
2. 利用可能なセキュリティ修正をすべて適用する。
3. パスワードなどの認証情報を変更する。
4. 登録されているアカウントを確認する。
5. 機器全体の設定をやり直す。

機器の初期化や再設定は、設備の管理状態にも関わる作業です。実施する際は、使用する製品の仕様やメーカーの手順を確認することになります。

復旧中も食品の温度管理を続けるための手動運転について、CERT-FRの警報には具体的な操作手順が記載されていません。現場での運転方法は設備ごとの仕様に従って判断する必要があります。

よくある質問

家庭用の冷蔵庫も同じサイバー攻撃を受ける可能性がありますか？

今回の警報の対象は、業務用の冷蔵設備を管理するDanfoss製の制御機器（AK-SM・AK-SCシリーズ）で、家庭用冷蔵庫は含まれていません。

家庭用冷蔵庫に同じ問題があるとする資料は、この記事で参照した範囲にはありません。

米軍基地の冷蔵設備もサイバー攻撃を受けたのですか？

2026年8月に米国内の複数の軍基地で冷蔵設備が停止し、軍の捜査機関が調査に関与しました。

確認した公表情報では、サイバー攻撃による障害だったと確定する調査結果は示されていません。

Danfoss製の冷蔵設備はすべて危険なのでしょうか？

製品のシリーズ、ファームウェアのバージョン、ネットワーク構成によってリスクは異なります。

CERT-FRが侵害を警告したAK-SM・AK-SCシリーズについては、メーカーの製品別更新情報と公式警報で対応状況を確認できます。

参考・参照元

• CERT-FR「Incident de sécurité ciblant les Danfoss série AK-SM et AK-SC」（2026年10月12日）
• Claroty Team82「Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers」（2026年8月9日）
• Cooling Post「Danfoss moves to mitigate cyberattack」（2026年10月12日）
• BleepingComputer「Cyberattack shuts down refrigerators at French supermarkets」（2026年10月12日）
• The Hacker News「Attackers Heat French Supermarket Refrigerators After Breaching Industrial Control Systems」（2026年10月13日）
• Reuters配信「Cyberattack affected 80 stores of French supermarket chain Co-operative U」（2026年10月13日、The Star掲載）
• franceinfo「Après la cyberattaque dans les supermarchés, le PDG de Coopérative U tempère l’ampleur des dégâts dans ses magasins」（2026年10月13日）
• Military Times「DoD confirms refrigeration disruption at military commissaries」（2026年8月28日）
• Schneier on Security「Is Someone Hacking DoD Refrigerators?」（2026年8月31日）
• Stars and Stripes「Army, Air Force special agents investigate refrigerator outages affecting several commissary stores」（2026年9月1日）
• Stars and Stripes「Refrigeration failures affect 4 military commissaries in Europe」（2026年9月30日）
• Dragos「Impact of FrostyGoop ICS Malware on Connected OT Systems」
• ポーランド国内情報機関ABW「Internal Security Agency ABW 2024–2025: Selected Activities」（英語版報告書・37ページ、PDF）