冷凍冷蔵設備に国が注意喚起 保守業者の遠隔回線は委託元が確認

冷凍ケースの温度を遠くから見ている機器を、だれが付けて、どの回線で外とつないでいるか。すぐに答えられる情シスは、多くないでしょう。取り付けも遠くからの保守も、設備業者の仕事になっていることが多いからです。そんな機器をねらう攻撃について、国家サイバー統括室が11月9日、事業者に向けた注意喚起を出しました。

統括室が「強く推奨します」とした対策は5つ。自分の会社の設備だけでなく、委託先にまかせている設備も含みます。工事の業者やビルの管理会社がつなぐ保守用の回線を、委託元として確かめる、という項目も入りました。

業者の回線も、もう「業者のもの」では済みません。

盗むのではなく、温める攻撃

注意喚起によると、欧州では約700店舗のスーパーマーケットや、血液製剤を保管する施設などで、遠隔監視システムが不正に操作されました。冷却を止められたり、除霜ヒーターを動かし続けられたりして庫内の温度が上がり、たくさんの食品や医薬品を捨てることになったといいます。フランスの小売チェーンで10月に起きた事件は、仏スーパー数百店で冷蔵設備が遠隔操作で経緯をお読みいただけます。

統括室はこの事案の「最大の特徴」として、設備にもともとある運転の機能を遠くから悪用し、商品を腐らせたり設備を壊したりする点を挙げました。データは盗まれなくても、在庫はだめになる。入り口は、インターネットに直接つながった機器や、保守用の回線に残った初期パスワード、委託先の管理の不備を突いた無差別の探索と侵入だった、と統括室はみています。

リスクは5つ挙がりました。在庫を捨てて店を閉めること、コンプレッサーが焼けたり火が出たりすること、監視画面を偽られて気づくのが遅れること、POSや業務システムにまで入りこまれること、そして食の安全や医療用の保冷基準から外れたときの信用と責任です。

情シスにいちばん近いのは4つ目でしょう。乗っ取られた制御機器を踏み台にして、同じ構内のネットワークから基幹システムへ広がるおそれがある、と統括室は指摘しました。

3つの機関の呼びかけを、同じ項目でそろえる

同じ攻撃をめぐっては、米国のCISAなど5機関が11月5日にファクトシートを、フランスのCERT-FRが10月12日に警告を出しており、統括室もこの2つを参考に挙げました。CISAのサイバーセキュリティ部門の幹部は発表で、冷凍と監視のシステムに頼る組織はどこも「標的になりうると考えるべきだ」と呼びかけています。

では、対策の中身はどこまで同じなのか。同じ項目でそろえると、次のようになります。

出典: 国家サイバー統括室、CISA、CERT-FRの各文書（2026年11月10日に確認）。表の言葉は、各文書を短く言い換えたものです。CISAは画面で温度が見えなくなる状態（denial-of-view）を影響に挙げていますが、対策に書くのは、ログを取って見ることと、ログの取れない機器の通信を記録することまでです。

名前を挙げた機器の行も、見ておきたいところです。10月13日に配信した仏スーパーの記事の時点で、CERT-FRの警告が挙げていたのはDanfossのAK-SMとAK-SCだけでした。その後、13日付けの版でCopelandとDixellのXWEBが加わりました。「うちにDanfossは無い」で確認を終えた会社も、型名を聞き直すことになります。

外からつながらないようにする点は、3つとも同じです。けれど、業者と画面の偽装の行では違いが出ます。

統括室は業者の統制を1つの対策として立てたうえ、温度センサーを別に置くことや、夜や休みの日の連絡の流れまで求めました。原因に「委託先管理の不備」を挙げていた流れからすると、自然な足し方とみられます。CERT-FRも業者の回線にはふれますが、急ぎなら業者の接続元IPだけを通すという当座の手当てで、恒久策にはしないようにとの但し書きつきです。業者への通信を切る前に保険の契約条件を確かめよ、という注意もCERT-FRにしかありません。遠隔監視が保険の条件になっている設備なら、急いで線を抜くと、別の困りごとを生むかもしれません。

もっとも、CERT-FRの注意はフランスの事業者に向けたものです。日本の保険や保守契約に同じ条件があるかは、どの文書からも読み取れませんが、切るか絞るかを決める前に、契約書を一度開いておく価値はあるでしょう。

社内LANを通るか、業者の回線か

統括室の文書は、「外部保守用回線」と、制御機器を踏み台にした「同一構内ネットワーク」への広がりの両方にふれました。そこから編集部は、つなぎ方を2つに分けて見ています。1つは、店や倉庫の社内LANにつなぐ形。もう1つは、業者が持ちこんだモバイル回線のルーターなどで、社内LANを通らずに外へつながる形です。

社内LANにつなぐ形なら、情シスの手元で探せます。ただし、入り方は2通りありそうです。業者が外から入ってくるなら、ルーターやファイアウォールのポート開放やVPNの設定に跡が残ります。機器のほうから業者のクラウドへ外向きにつなぐなら、ポート開放はありません。その場合は、機器のいるセグメントから外へ出る通信の許可と、その記録を見ます。

POSや業務用PCと同じセグメントに置かれていないかも、ここで分かります。統括室の「業務用PC等のネットワークと冷凍・冷蔵設備等のネットワークを分離する」は、この形の話です。

社内LANを通らない形は、社内の機器の一覧やスキャンには出てこないはずです。だから、設備担当か業者に聞くほかないでしょう。

どちらの形かも分からないなら、まず機器の一覧を作るところからです。店や倉庫の数が多い小売や物流の会社ほど、ここに時間がかかるでしょう。

関係するのは、温度を遠くから見ている拠点

例に出てくる施設は、食品や小売の店、物流の倉庫、それに医療や公衆衛生の施設です。CISAなどの文書には、冷やしながら運ぶ輸送のサービスも出てきます。

• 冷凍冷蔵のケースや倉庫を持ち、温度を遠くから見ている会社には、5つの対策がすべて当てはまります。
• 設備の保守を業者に任せているなら、4つ目の、業者の統制の項目が中心です。
• 店のLANにPOSや業務用PCと設備の機器が同居しているなら、ネットワークを分ける行を急ぐことになりそうです。
• 冷凍冷蔵の設備を持たない会社は、呼びかけの中心から外れます。ただ、ビルの管理会社が遠隔保守の回線を引いている設備があるなら、同じ確かめ方が使えます。

日本での被害や、どのメーカーの機器が国内でどれだけ使われているかは、注意喚起に書かれていません。

設備担当と保守業者に確認すること

10月の記事の手順は、Danfossの機器があるか、型名と版、どうやって遠くからつないでいるか、外から管理画面が開くか、切るか絞るか、という流れでした。今回足すのは、POSとの同居、初期パスワード、更新をだれがするか、保険の契約、夜の連絡の5つです。

1. 冷凍冷蔵の設備がある拠点ごとに、遠くから見ているかどうか、契約している業者、機器の型名を、設備担当や店舗運営の部署に聞きます。型名は、DanfossのAK-SMとAK-SC、CopelandとDixellのXWEBのどれかに当たらないかを見ます。温度の警報が夜や休みの日にだれへ届くかも、同じ機会に聞いておきます。
2. 社内LANにつながる機器があれば、ルーターとファイアウォールのポート開放、機器のセグメントから外へ出る通信の許可と記録、POSとの同居を今日のうちに見ます。
3. 保守業者には、つなぎ方、接続元のIPアドレス、初期パスワードを変えたか、ファームウェアをだれが更新するかを、文書で返してもらいます。
4. 外から届く機器が見つかったら、切るか絞るかを業者と決めます。急ぐなら業者の接続元IPだけを通す手もありますが、恒久策にはしません。決める前に、保守と保険の契約に目を通します。
5. 温度の監視を、機器の画面だけに頼っていないかを点検します。センサーを別に置くかどうかは、設備の予算と合わせて決めることになるでしょう。

1と2は今日、3と4は今週のうちに。5も点検は今週でき、予算の時期に回るのは、センサーを置くかどうかの判断だけです。

冷凍ケースが温まったとき、最初に気づくのは店の人でしょう。その電話が情シスに回ってきたとき、どの業者のどの回線かをすぐ答えられるか。今週の確認で、そこまで用意できれば十分です。