ベルギーで少なくとも20件のスーパーマーケット冷凍システムが侵害され、複数国の冷凍庫が同時期に温度上昇

ベルギーで少なくとも20件の冷凍システムが侵害されたことは、現在の資料で明示されているシステム数である。¹ 同一時間帯に、ベルギー、オランダ、スウェーデン、ルクセンブルクなど複数国のスーパーマーケットの冷蔵・冷凍設備で温度異常が発生した。¹ ネットワーク接続された冷凍システムが遠隔操作された結果、一部の冷凍庫や冷蔵庫の温度が約50℃に上昇した。¹ 既知の20件はベルギーで侵害されたシステムを指すだけで、これを多国間の総システム数とみなすことはできない。¹

影響を受けた企業はオランダとスウェーデンに分布し、アホーデ・デルハイゼ傘下の店舗やICA、Coopチェーンが含まれる。¹ ベルギーで影響を受けた店舗はデルハイゼ、カルフール、スパーなどのチェーンブランドに及ぶ。¹ これらの情報は事件が複数国・複数チェーンに跨っていることを示すが、各ブランドの影響店舗数は示されていない。¹ したがって、システム数、店舗数、関与企業の範囲は異なる統計基準であり、既存の数字は相互に置き換えることはできない。¹

事件は日曜の深夜前後に始まり、多くの店舗は数時間後に設備の温度異常に気付いた。¹ この発見の遅れは、異常が始まった時点と店舗が異常に気付く時点が同一でないことを意味する。¹ 既知の資料には各店舗が具体的にいつ問題に気付いたか、また温度異常がどれだけ続いたかは記載されていない。¹ したがって、深夜前後という記述は攻撃開始の大まかな時間帯を示すもので、すべての店舗が発見・対応した時間を示すものではない。¹

侵入者は除霜モードを長時間稼働させ、通常の温度制御を回避した結果、温度が急速に上昇した。¹ これは異常が単なる数値変化だけでなく、冷凍システムの運転モードも操作されたことを示す。¹ 一部の設備が約50℃に上昇したという記述は、冷凍庫や冷蔵庫の温度を指し、店舗内部の温度ではない。¹ 資料はすべての影響機器が達した温度を提供していないため、約50℃はすべての機器に共通する数値として扱うことはできない。¹

ベルギーのサイバーセキュリティセンターは本件を把握し、進展を注視している。¹ デルハイゼは、一部店舗の冷凍システムがITインシデントの影響を受けたことを確認し、対策を講じたと述べた。¹ ベルギーのカルフールは、本件がサイバー攻撃であると確認し、影響範囲は限定的であると述べた。¹ これら二つの企業声明はそれぞれ影響状況と範囲に言及しているが、カルフールが言う「限定的な範囲」の具体的な数値は資料に示されていない。¹

スウェーデンのICA Kvantum店舗はFacebookで、冷凍庫の温度が50℃に上げられたと報告し、ハッカーによる侵入の可能性を示唆した。³ ICAスウェーデン社の広報は、少数の店舗で夜間に事件が発生し、冷凍システムが影響を受けたことを確認した。³ しかし同社は、これらの事件がサイバー攻撃に該当するかどうかは確認していない。³ 店舗側の侵入疑念と企業側の事実確認の度合いは異なるため、前者を企業の結論として記述すべきではない。³

別の資料によれば、影響を受けたスーパーマーケットは、すでにサポートが終了したDanfoss製冷凍コントローラを主に使用しており、これが攻撃が可能になった脆弱性の原因と考えられる（根拠のある判断）。² この主張はコントローラのサポート状態と潜在的な侵入経路を結びつけているが、脆弱性が実際に確認されたわけではない。² したがって、機器がリスク要因であるという判断は、確認された侵入システム数と混同すべきではない。¹² 既存の資料は、各ブランドや店舗におけるコントローラの具体的な分布も示していない。¹²

フランスでは先月、約700店舗の冷凍システムがサイバー攻撃により機能しなくなり、腐敗した食品の廃棄が必要となった。³ この約700という数字はフランスで以前に起きた事件に関するもので、今回の多国スーパーマーケット事件の店舗数ではない。¹³ 今回の資料で明示されたベルギーの少なくとも20件のシステム数とは異なり、フランスの数字は店舗数を指し、別の事件に対応している。¹³ 二つの数字は対象と事件が異なるため、攻撃規模を直接比較すべきではない。¹³

現在開示されている情報は、多国で機器の異常が確認され、一部機器が遠隔で温度調整されたこと、そしてベルギーで少なくとも20件のシステムが侵害されたことを裏付けている。¹ 企業ごとの見解は完全に一致していない：デルハイゼは一部店舗がITインシデントの影響を受けたと確認し、カルフールはサイバー攻撃と確認、ICAスウェーデン社は攻撃性については確認していない。¹³ 資料は本件の店舗総数や全体的な商品損失については示していない。¹ したがって、現段階では確認できる機器異常と侵入状況、各企業の表明、そして数量的な全体影響が未確定である点を区別できる。¹³