フランスのスーパー300店超で、冷凍庫が50度に温められた

パンも、バゲットも、精肉も、まとめてゴミ箱へ。10月11日の夜から12日の朝にかけて、フランスのスーパーで冷蔵・冷凍ケースの温度が上がった。高いところでは50度。IntermarchéとNettoで合わせて300店以上、Carrefourで80店、Monoprixで30店ほど。Coopérative Uは100店未満、E.Leclercも数店が入る。故障ではない。サイバー攻撃だった。

ある店長は「冷蔵庫の扉を開けたら、中はオーブンだった」と話した。冷凍ケースは、普段氷点下18度から19度。それが40度を超えていたという。

霜取りが、朝まで止まらなかった

冷やす機械が、なぜ熱を出すのか。ここが、ややこしい。

冷蔵・冷凍のケースには霜取りという運転が組み込まれている。普段は短い時間で終わり、すぐ冷やしに戻る。攻撃した側は、これを遠隔で入れた。そのうえで目標の温度を50度にしたまま、夜のあいだ止めなかった。

壊れたのは、食べ物だけではない。マンシュ県ラ・エのIntermarchéでは、温度が80度まで上がり、ケースそのものが溶けたと会社が動画で説明した。氷点下20度から、40度、50度へ一気に動いたため、煙が出たケースもあった。パリ検察のサイバー犯罪課は12日、自ら捜査に乗り出した。調べているのは、食べ物の損失と、発火だ。

捨てた量も出ている。ある店は、食べ物を60立方メートル捨てた。6畳の部屋を、天井まで2つ半埋める量だ。金額にして15万から20万ユーロ。バゲットと菓子パン、ケーキだけで6万ユーロ分という店もあった。イシー・レ・ムリノーの店の損は5万5,000ユーロ。アグノーでは、Intermarché2店で合わせて27万ユーロだという。

入り口は、更新されていない古い機器

では、どうやって入ったのか。

動いていたのは、冷凍設備の制御機器をつくるDanfossという会社の製品だ。Danfossの説明によると、やられた機器は、AK-SM800やAK-SC355といった古い製品がほとんどだった。どちらも寿命を終えていて、ソフトも安全の更新も、もう出ていない。

この系統の機器には、2025年にCVEの番号が付いた弱点が公表されている。CVE-2025-41450は、認証の回避だ。隠されたパスワードが、その日の日付だけから計算される。

弱点を調べて知らせる側のハッカー、クレマン・ドミンゴ（SaxX）は、していなかったのは更新だけだと話した。その日の日付という、とても簡単なパスワードで機器を取られたのだと。ラジオのRMCでは、今回の手口を「そんなに高度ではない」と言っている。

むき出しの機器も多い。研究者のバティスト・ロベールは、ネットから見えるDanfossの機器を2,752台、うちフランスに1,590台と数えた。ANSSIのバンサン・ストリュベル長官は、こうした機器をネットから切り離すか、せめてつながりを厳しく絞るよう呼びかけた。Danfossは、直したファームウェアを出している。

ネットの評判

Coopérative Uの社長ドミニク・シェルシェは、Xにこう書いた。生鮮を守る設備と、フランス人の食の供給に手を出すのは「極めて重大」で、前例がない、受け入れられない。この投稿は、そのあとの報道で何度も引かれた。

一方、セキュリティの人たちの投稿は向きが違う。研究者のオリビエ・ロレリ（Bluetouff）は、証拠もなくどこかの国のせいにするのは危ういとした。そのうえで、機器に知られた弱点があり、更新されていなかったことが、攻撃する側を大いに助けただろうと書いた。悪いのは攻撃者か、機器を放っておいた側か。声は、まだ混ざったままだ。

ネットの外でも反応は出ている。買い物に来た女性のひとりは、サイバー攻撃で冷蔵庫まで乗っ取られると思うと、もう安全だとは感じられない、と話した。

では、だれが払うのか

犯行声明は、まだ出ていない。だれがやったのかは、分かっていない。

近所のスーパーの冷蔵庫が、一晩で50度になったとする。気になるのは、だれが払うのかだ。Intermarchéは、難しいところは保険だと話している。保険は、この手の被害をみてくれない。一晩で捨てた分の代金は、戻ってこないということだ。