スーパーマーケット冷凍庫へのサイバー攻撃：レガシーソフトウェアが6カ国を直撃

冷凍庫は食料品店で最も退屈な部分のはずだ。今週、それがセキュリティの話題となった。欧州6カ国の食料品チェーンで冷凍システムが誤作動し、一部の冷凍庫温度は122°F（50°C）まで上昇、店舗は食品を廃棄せざるを得なくなった。この事件はスーパーマーケット冷凍庫へのサイバー攻撃と疑われており、物理世界で稼働する脆弱なレガシーソフトウェアに対する懸念が再び高まっている。

犯行声明は依然として「容疑」とされているため、何が判明していて何が判明していないかを慎重に見極める価値がある。明らかなのはそのパターンだ。物理機器を制御するソフトウェアが意図的に見える形で故障し、その結果は盗まれたデータではなく、台無しになった在庫として計上された。

スーパーマーケットの冷凍庫に何が起きたのか

報道によれば、6カ国の食料品チェーンで冷凍システムが正常に機能しなくなった。一部のケースでは冷凍庫の温度が122°Fまで上昇した。店舗は販売に適した状態で保管できなくなった食品を廃棄しなければならなかった。

この事件のフランス部分に関する報道では、ハッカーが冷凍ユニットを調整するソフトウェアの制御を奪い、一部を一晩中暖めさせたと述べられている。一部の報道では、影響を受けたフランスのユニット数は数百台に上るとされる。冷凍機器メーカーのダンフォスはAFPに対し、影響を受けた機器の大半は「レガシー」製品で「もはやソフトウェアやセキュリティアップデートを受け取っていない」と語ったと報じられている。これらの数字を独自に検証したわけではなく、調査は継続中と思われる。

今回の被害は主に財務面と運用面だった。失われた在庫、混乱した店舗、後片付けに対応するスタッフである。しかし、同じ種類のアクセスは原理的には熱、冷気、水、電力を制御するあらゆるシステムに影響し得る。

なぜレガシーソフトウェアがスーパーマーケット冷凍庫へのサイバー攻撃を可能にするのか

冷凍コントローラーは「運用技術（OT）」と呼ばれるカテゴリーに属する。ノートパソコンやスマートフォンとは異なり、これらの機器は最小限の注意で何年も稼働するように作られている。設置され、技術者が監視できるようネットワークに接続され、その後ほとんど忘れられる。

その設計はいくつかの馴染み深い弱点を生み出す：

• 更新の終了。 メーカーが製品のセキュリティパッチの発行を停止すると、その後に見つかった脆弱性は永久に未修正のままとなる。報じられたダンフォスの声明はまさにこの問題を指摘している。
• 設計上の遠隔管理。 集中管理システムにより、技術者は各店舗を訪問せずに問題を診断し変更を配信できる。その利便性は、システムがインターネットから到達可能であったり保護が不十分であったりする場合、攻撃者に狙いを定める単一の場所を与えることにもなる。
• 長い寿命。 10年前に購入した機器は冷凍庫としては完璧に機能し続けるかもしれないが、ネットワーク接続されたコンピューターとしては防御不可能かもしれない。
• セキュリティより安全性。 これらのシステムは往々にして、決意ある侵入者に抵抗するためではなく、確実に稼働し続けるために設計されてきた。

これはスーパーマーケットに固有のものではない。病院、工場、ビル管理システムも、稼働率とパッチ適用の間の同じトレードオフを共有している。

これがあなたにとって何を意味するか

ほとんどの読者は食料品チェーンを運営していないが、多くは同じ構成のより小さな版を運営している。家庭や中小企業には、ルーター、ネットワークカメラ、スマートサーモスタット、接続冷蔵庫、NASドライブ、POS端末があるかもしれない。それぞれがインターネットに接続された小さなコンピューターであり、多くは数年前に購入され一度も更新されていない。

冷凍庫事件からの教訓は、あなたのキッチン家電が食べ物を調理しようとしているということではない。時代遅れのソフトウェアを持つインターネット露出デバイスが、ネットワークへの現実的な侵入経路であり、その影響はデータを超えて物理的な運用にまで及ぶということだ。遠隔監視サービスに接続されたウォークイン冷凍庫を持つ小さなカフェ、レストラン、商店にとって、そのシナリオは突飛な話ではない。在庫の腐敗は大規模チェーンよりも中小企業にはるかに大きな打撃となる。

ここで最も重要なのはルーターだ。それは他のすべてのデバイスの門番である。もしそれが古い、パッチ未適用、またはデフォルトパスワードで管理されているなら、その背後にあるすべてがそのリスクを引き継ぐ。

接続デバイスとルーターを保護する方法

露出を減らすのに専門ツールは必要ない。短時間の監査で大いに効果がある：

1. 接続されているものをリストアップする。 ルーターのデバイスリストを確認し、見覚えのないものや使わなくなったものを記録する。不要なものは電源を切る。
2. ファームウェアを更新する。 ルーターとすべての接続デバイスに最新のアップデートをインストールする。自動更新が提供されている場合は有効にする。
3. サポート終了状況を確認する。 各デバイスをメーカーがまだサポートしているか調べる。セキュリティアップデートを受け取らなくなった製品は、交換を計画するか、少なくとも隔離する。
4. デフォルトの認証情報を変更する。 工場出荷時のユーザー名とパスワードを固有で強力なものに置き換え、パスワードマネージャーで管理する。
5. 使っていない遠隔アクセスをオフにする。 特定の理由がない限り、ルーターの遠隔管理、ポートフォワーディング、UPnPを無効にする。
6. ネットワークを分割する。 スマートデバイス、カメラ、機器をノートパソコンや作業ファイルから離れたゲスト用または別のネットワークに置く。1台のデバイスが侵害されても、被害は封じ込められる。
7. 中小企業はベンダーに直接質問する。 サプライヤーが冷凍設備やその他の機器を遠隔管理している場合、アクセスがどのように保護されているか、誰がログインできるか、ハードウェアがまだサポートされているかを尋ねる。

まとめ

スーパーマーケット冷凍庫へのサイバー攻撃は、レガシーソフトウェアがバックオフィスの問題にとどまらないことを鮮明に思い出させる。古くパッチ未適用のシステムがインターネットから到達可能な場合、攻撃は溶けた在庫と空の棚に変わり得る。同じ原則が家庭や小さな店にも当てはまる：何が接続されているかを把握し、最新の状態に保ち、パッチを適用できなくなったものは廃止し、リスクのあるデバイスをネットワークの残りから分離する。今週1時間を確保して、ルーターと接続デバイスを監査しよう。冷凍庫いっぱいの食品を捨てるコスト、あるいはそれ以上のものと比べれば、小さな作業である。