冷蔵庫が攻撃された。データではなく食品が失われた事例

• フランスのスーパー数百店舗で冷蔵設備が遠隔操作された
• 霜取り運転を続けさせ、庫内が50度まで上昇。食品が大量に廃棄された
• 失われたのは情報ではなく物と売上

これまでこのサイトで扱ってきた不正アクセスは、情報が外に出る話だった。今回は違う。機械が動かされて、食品が駄目になった。

何が起きたか

報道によれば、2026年10月11日の夜、フランスの複数のスーパーマーケットで冷蔵・冷凍設備が外部から操作された。

• 冷却システムが霜取りモードに切り替えられた
• 通常は一定時間で終わる霜取りが、続くように設定された
• その結果、庫内の温度が約6時間にわたって50度まで上昇
• 肉類、冷凍食品、野菜が廃棄された

影響した店舗数は、Intermarché で約150店舗とされる（運営側の説明として、セキュリティ企業Clarotyが記事に記載）。報道ではさらに広く、Coopérative U で100店弱、E.Leclerc でも一部に被害が出たとされている。

壊す必要がなかった

手口として注目すべきはここだ。機械を壊していない。もともと備わっている霜取りという正規の機能を、使うべきでない形で使っただけになる。

だから侵入の痕跡は「設定が変わった」程度にしか残らない。異常な動作ではなく、正常な動作が異常な場面で起きたという形になる。

制御機器がインターネットに出ていた

背景として、セキュリティ企業Clarotyの研究チームが2026年8月に公表していた調査がある。対象はDanfoss製の冷蔵制御機器だ。

公表されていた脆弱性は3つ。

• 認証の仕組みを回避できる
• 遠隔でコードを実行できるコマンドの注入
• 設定の記述を任意に注入できる

そして、調査でもっとも重いのが露出の数だ。同チームの初期調査では、この管理画面がインターネットから到達できる状態で2,765台見つかっている。

製造元は新しいファームウェアで対処したと記載されている。

ただし、関連は確認されていない

ここは正確に書いておく必要がある。研究を公表した当のClaroty自身が、「攻撃者がフランスのスーパーチェーンにどのようにアクセスしたかの詳細は得られていない」として、今回の攻撃と自分たちが公表した脆弱性との直接の関連は未確認としている。

報道では、製造元が「被害を受けた機器の多くはサポートが終了した製品で、指摘された脆弱性とは関係しない」と述べたとも伝えられている。

「この脆弱性が使われた」と断定できる段階ではない。確認できているのは、同種の機器が多数インターネットに露出していたという事実のほうだ。

なぜ外から届く場所にあるのか

疑問に思うところだが、理由はある。

• 遠隔で監視したい — 店舗ごとに人を置かず、まとめて温度を見たい
• 遠隔で設定したい — 現地に行かずに調整したい
• 保守業者が入りたい — 異常時に外から確認したい

どれも正当な要求だ。問題は、その口がインターネット全体に開いていることにある。必要なのは「保守業者から届くこと」であって、「世界中から届くこと」ではない。

情報システムとの違い

この事例が示しているのは、守る対象の性質の差だ。

3段目と4段目が効いている。設備は止められないから更新できず、長く使うから古いまま残る。

小さい規模でも当てはまる

工場や大型店の話に見えるが、構造は同じものが身近にもある。

• ネットワークに繋がった録画機・防犯カメラ
• 遠隔で操作できる空調・照明
• 外から入れるようにした複合機・NAS
• 管理画面を公開したままのルーター

いずれも「便利だから外から入れるようにした」ものだ。確認することは3つでよい。

1. その管理画面は、インターネットから開けるか — 外の回線から試す
2. 初期のパスワードのままになっていないか
3. 更新が提供されているか。終わっていないか

1番が本題になる。開ける必要がないなら閉じる。保守業者だけが入ればよいなら、接続元を限定する。

止まったときの備えとして

この秋の事例で共通しているのは、被害が「漏えいした件数」では測れないことだ。業務が止まる、設備が使えなくなる、連絡手段が落ちる。

情報が出ていなくても業務が止まる例は情報は出ていない。それでも1週間止まった組織があるに書いた。委託先が破られて自社に影響が出る形は自社は破られていない。それでも漏れた企業が並んだにまとめてある。

今回はさらに踏み込んで、情報システムの外側でも同じことが起きるという事例になった。

まとめ

• フランスのスーパー数百店舗で冷蔵設備が遠隔操作された
• 霜取り運転を続けさせ、庫内が約6時間にわたり50度まで上昇
• 機械を壊さず、正規の機能を使った。だから痕跡が残りにくい
• 同種の制御機器が、調査時点で2,765台インターネットに露出していた
• ただし今回の攻撃と公表済み脆弱性の関連は未確認と研究側が明記している
• 設備の制御は止められないから更新できず、長く使うから古いまま残る
• 確認することは、外から開けるか／初期設定のままか／更新が続いているか

出典

• Claroty「France Supermarket Hacks Expose Risks of Internet-Facing Refrigeration Systems」（2026年10月12日）（脆弱性の内容、露出台数2,765台、攻撃との関連が未確認であること）
• Claroty Team82「Freeze the Controller, Defrost the Food」（2026年8月）（脆弱性の調査そのもの）
• 被害店舗数、温度が約6時間にわたり50度まで上昇したこと、捜査の開始、当局の警告は、TBS CROSS DIG with Bloomberg、ITmedia NEWS などの報道による

本記事は2026年10月13日時点で公表されている内容に基づく。攻撃の経路は調査中であり、断定できる段階にない。なお本記事は法的な助言ではない。