フランスのスーパーマーケットの冷蔵庫がハッキングされ50℃に加熱、ファームウェアは旧式のまま

Danfossによれば、フランスのスーパーマーケット数百店で一夜にしてハイジャックされた冷蔵コントローラーは、古くなったファームウェアを実行していました。 攻撃者は冷蔵庫の温度を50℃まで上げ、店舗は新鮮な食品や冷凍食品を廃棄せざるを得ませんでした。

セバスティアン・ルコヌ首相に近しい情報筋によると、フランスのサイバーセキュリティ機関ANSSIはDanfoss製のソフトウェアに脆弱性を見つけたという。同筋によれば、ANSSIはすでにベンダーに連絡済みとのこと。

DanfossはAK-SM800およびAK-SC355のレガシーコントローラーを指定

デンマークのメーカーDanfossは、「フランスで限られた数の冷蔵管理システムに影響を与える事案が発生していることを認識している」と述べました。同社はAK-SM800とAK-SC355の2つの製品ラインを特定しました。

影響を受けたハードウェアの多くは、ソフトウェアやセキュリティアップデートが「提供されなくなった」レガシー機器であり、同社は述べています。影響を受けたユニットは、バージョン4より前に作成された規制対応ソフトウェアを実行していたと報告されています。

影響を受けたシステムは「古いファームウェアを実行していました」と、Danfoss は述べています。また、同社は「長年、顧客に対してサポート対象システムの最新ファームウェアへの更新を維持し、レガシーシステムを最新世代のソリューションに移行するようアドバイスしてきました」とも述べています。

スーパーマーケットの冷蔵室や冷蔵ショーケースは、1つのリンクされたパネルから制御されています。このパネルは温度と除霜サイクル（機器が加熱して氷を溶かす短時間）を制御します。

攻撃者は除霜機能を乗っ取り、50℃で連続稼働させたようです。

2026年8月、ClarotyのTeam82は、施設の冷凍制御装置を統括するシステムマネージャーであるDanfoss AK-SM 800Aに関する調査結果を発表しました。同チームは3つの脆弱性を公開しました。CVE-2025-41450：現在の日付に基づく隠しパスワードを使用した認証回避；CVE-2025-41451：ログイン後にリモートコード実行に至るメールアラート設定におけるコマンドインジェクション；CVE-2025-41452：サービス拒否を引き起こせるNginx設定インジェクションです。

DanfossはファームウェアR4.3.1でこれらの欠陥を修正しました。研究者らはまた、公衆インターネットに公開された同種の管理インターフェースが数千件あることも発見しました。

その調査と今週の攻撃との間に確認された関連性はありません。

Intermarchéの親会社は150店舗が6時間にわたり被害を受けたと報告

Intermarchéの親会社であるLes Mousquetairesは、約150店舗の冷蔵庫が夜間を通じて6時間、50度の温度になったと発表しました。健康リスクを防ぐため、関係するすべての食品は廃棄されました。

パリ中心部のIntermarchéでは、店員たちが解凍された食品を大量の台車ごとゴミ捨て場に投げ捨てました。溶けたアイスクリームが歩道に溢れ出していました。

カルールは、自社のスーパーマーケット80店舗が被害を受けたと述べ、6,000店舗のうち大部分は無傷だったと説明した。フランスに約490店舗を展開するモノプリは、5%の店舗が攻撃を受けたと発表した。

「鮮度保持やフランス人の食料供給に不可欠な設備を狙ったこの行為は、極めて重大かつ前例のないものだ」と、クーパーラティヴ・UのCEOドミニク・シェルシェ氏はX（旧ツイッター）に投稿した。

スペイン、ポルトガル、ポーランド、ドイツ、ベルギーでも攻撃が発生したと、セコイアの脅威分析担当フェリックス・アメ氏は指摘している。

今年初め、Cryptopolitanは、フランスの税務当局が侵害を受け、約70万人の納税者のデータが流出したと報じました。その後、政府はOpenAIではなく、Mistralのような主権的なAI企業に、公的システムの脆弱性を調査するよう依頼すると発表しました。