内閣官房の国家サイバー統括室は11月9日、食品・小売、物流倉庫、医療施設などの冷凍・冷蔵設備を狙うサイバー攻撃について、事業者向けの注意喚起を公表した。設備の温度を遠隔で監視・制御するシステムが不正に操作され、冷却が止まったり除霜用のヒーターが動き続けたりして庫内の温度が上がり、保管していた食品や医薬品が廃棄される被害が欧州で出ていると説明した。事業者と保守の委託先に対し、制御機器をインターネットから直接つながない構成に改めることや、初期パスワードの変更、上限温度の制限の設定などを「速やかに実施することを強く推奨」している。
遠隔監視を乗っ取り、庫内を温める
注意喚起によると、欧州では約700店舗のスーパーマーケットや血液製剤の保管施設などで、遠隔監視システムが不正に操作された。冷却の停止や除霜ヒーターの連続運転で庫内の温度が急に上がり、大量の食品・医薬品の廃棄や営業停止が起きたという。
統括室は、この攻撃の「最大の特徴」を、設備がもともと持っている正規の運転機能を遠隔操作で悪用し、商品の腐敗や設備の損壊という物理的な損害を直接引き起こす点にあるとした。原因としては、インターネットに直接つながった機器、外部の保守用回線で初期パスワードが変えられていないこと、委託先の管理の不備が挙げられ、攻撃者はこうした機器を無差別に探して侵入しているとみられるという。
業務用の冷凍・冷蔵設備には、庫内の温度を一定に保つ制御装置（コントローラ）と、複数の設備をまとめて監視する集中監視システムが付いている。店舗や倉庫の外にいる設備業者が、回線を通じて温度の記録を見たり設定を変えたりできるようにしている例が多い。冷凍機は冷却器に付いた霜を溶かすため、ヒーターで定期的に温める「除霜」を行う。攻撃者はこの除霜の設定を書き換え、冷やすための設備で庫内を温めていることになる。
統括室は、国内でこの攻撃による被害が確認されたかどうかは資料の中で示していない。
欧米の機関が10月から相次ぎ警告
統括室の注意喚起は、フランスと米国の政府機関が出した警告を参考として挙げている。
| 公表日 | 機関 | 内容 |
|---|---|---|
| 10月12日 | 仏CERT-FR | 冷凍設備の遠隔制御装置が多数侵害されたと警告（16日に更新） |
| 11月5日 | 米CISAなど5機関 | 小売の食料品店や冷蔵倉庫の温度制御装置を狙う活動を警告 |
| 11月9日 | 国家サイバー統括室 | 国内の食品・物流・医療の事業者に対策を推奨 |
フランスの政府のセキュリティー対応チーム、CERT-FRは10月12日の警告で、ダンフォス（Danfoss）の「AK-SM」「AK-SC」シリーズと、コープランド（Copeland）とディクセル（Dixell）の「xweb」の各遠隔制御装置について「多数の侵害」を把握していると公表した。管理画面をインターネットに公開すること自体が良い慣行に反すると指摘し、攻撃は「おそらく現在も続いている」と注意を促している。
米国では11月5日、サイバーセキュリティ・社会基盤安全保障庁（CISA）と連邦捜査局（FBI）、保健福祉省、農務省、運輸省の5機関が連名で警告を出した。攻撃者は更新されていない機器やインターネットから接続できる機器の弱点を突き、設定を遠隔で書き換えて加熱と除霜を繰り返させるという。手口として、認証の回避、任意のコードの注入、脆弱な設定の悪用の3つを挙げた。
在庫の廃棄から火災、基幹システムへの侵入まで
統括室は、攻撃者が冷凍・冷蔵のコントローラなどに不正に侵入した場合に起こりうる損害を5つに分けて示した。
1つ目は在庫の廃棄とサプライチェーン（供給網）の途絶で、生鮮食品や温度管理が必要な医薬品の大量廃棄、店舗や物流拠点の営業停止を挙げた。2つ目は設備の損壊と事故で、圧縮機（コンプレッサー）の焼損、ヒーターの過熱による火災、二酸化炭素などの冷媒の漏れを想定する。
3つ目は監視画面の偽装による初動の遅れだ。管理画面に正常な温度が表示されたままになるなどして、現場が異常に気づかず被害が広がるおそれがある。米国の5機関も、現在の温度が見えなくなる状態を攻撃の結果の一つとして挙げている。
4つ目は、侵入された制御機器を踏み台に、同じ構内のネットワークにあるPOS（販売時点情報管理）や業務システムへ侵入が広がる危険だ。5つ目として、食の安全や医療用の保冷の基準から外れることで、企業の信用が損なわれ、規制当局から是正の指導を受ける可能性を示した。
米国の5機関は、温度の変化が設備の寿命や火災の危険に加え、安全でない状態で保管された商品を消費者が口にすることで間接的に健康を害するおそれもあるとしている。
求める対策は5項目、委託先も点検
統括室が事業者に求めた対策は5項目ある。
第一に、制御機器へのインターネットからの接続を制限し、ネットワークを分ける。コントローラや集中監視システムが外部から直接接続できる状態になっていないかを調べ、接続を制限するか、多要素認証やVPN（仮想私設網）による閉じた接続に移す。店舗や拠点の業務用パソコンのネットワークと、冷凍・冷蔵設備のネットワークも分ける。
第二に、機器の購入時や施工時に設定された工場出荷時のパスワードを直ちに変え、不要な管理者アカウントや保守用の接続を止める。第三に、外部から不正に操作されても50度まで加熱するといった許容範囲外の温度に設定できないよう、コントローラの上限温度の制限（安全リミット）を有効にし、メーカーが出すセキュリティー更新が適用されているかも確かめる。
第四に、設備工事業者やビル管理会社が使う遠隔保守の回線について、接続の形やパスワードの管理、更新の責任の所在を、発注する側として確認する。第五に、画面の表示が偽られた場合に備えて独立した温度センサーを置くなど監視を二重にし、夜間・休日を含めて温度の異常をすぐに現場と責任者へ知らせる体制を整える。
CERT-FRの警告も、まず機器をインターネットから切り離し、接続はVPNなどの保護された経路に限るよう求めている。すでに侵害された機器については、工場出荷時の状態に戻すだけでは不十分で、メーカーのサポートが終わった機器をインターネットにつないだままにすれば再び侵害される可能性が非常に高いとしている。また、設備業者へのデータの送信を止める前に、保険の契約条件を確かめるよう助言している。
被害を受けたら情報の共有を
統括室は、被害を受けた組織に対し、攻撃の拡大を防ぐため、技術的な情報を統括室や所管の省庁、警察、専門機関に速やかに共有するよう求めた。
統括室はこの秋、事業者向けの注意喚起を続けて出している。11月5日には個人情報の漏えいにつながる不正アクセスへの対策を求める文書を出しており、管理画面やアプリの裏側が狙われているとして基本的な対策の徹底を求めた（攻撃にAI使用の可能性高い 政府が事業者に注意喚起、低リスクの弱点も組み合わせ侵入か）。被害を受けたときの相談先は、政府が個人と事業者の別に1ページにまとめている（政府、サイバー被害の相談先と注意喚起を1ページに 個人・事業者の別を明示）。
今回の注意喚起は、情報システムではなく、店舗や倉庫、病院の設備を動かす「OT（運用技術）」と呼ばれる制御システムを対象にしている。統括室は、欧米の機関がこの問題を重要インフラを脅かすOTとサプライチェーンの重大なリスクとして緊急に警告していると説明しており、設備の管理を外部に任せている事業者にも、委託先を含めた点検を求めている。