フランスで大規模冷蔵庫ハッキング、数百万ユーロの損害と火災を引き起こす

今週初め、フランスの約700店舗の冷蔵システムが大規模にハッキングされ、故障を起こし、膨大な量の腐敗した食品を生み出し、場合によっては火災に至った。Ars Technicaによれば、攻撃者は技術者が店舗全体のシステムを遠隔で管理できるインターネット接続型制御装置を乗っ取った。攻撃は除霜機を長時間作動させ、冷蔵庫の温度を50°C（122°F）まで上昇させた。

乗っ取られた制御装置はデンマークのデンフォスと米国のディクセルおよびその親会社コペランドが販売していた。Ars Technicaは、3つのモデルすべてに管理者と同等の権限で遠隔ログインできる重大な脆弱性があると報じている。最近までデンフォスの制御装置は、公開ファームウェアに基づく日付から生成される日次パスワードを使用しており、攻撃者は更新されていないデバイスであればそのパスワードを再現できた。

Ars Technicaによると、今回の事件は数千万から数億ユーロの費用がかかったと推定される。腐敗に加え、いくつかの店舗の電気システムが火災を起こした。さらに、ハッキングはスペイン、ポルトガル、ポーランド、ドイツ、ベルギーの店舗にも影響を与えたと報道機関は報じている。

Pen Test Partnersの研究者は、サイバー衛生対策がアクセスを防げたと述べ、制御装置を公開インターネットから切り離し、VPNとIPホワイトリストを使用し、最新リリースへパッチ適用する必要があると指摘した。Clarotyは昨年10月にこれらの手順を無視するリスクを警告し、米国サイバーセキュリティ・インフラストラクチャーセキュリティ局も2月に同様の警告を発した。コペランドは、廃止済みのエンドオブライフ世代の制御装置に脆弱性があることを認め、顧客と協力して同様の事象を防止する取り組みを進めていると述べた。

Pen Test Partnersの研究者は、サイバー衛生対策がアクセスを防げたと述べ、制御装置を公開インターネットから切り離し、VPNとIPホワイトリストを使用し、最新リリースへパッチ適用する必要があると指摘した。Clarotyは昨年10月にこれらの手順を無視するリスクを警告し、米国サイバーセキュリティ・インフラストラクチャーセキュリティ局も2月に同様の警告を発した。コペランドは、廃止済みのエンドオブライフ世代の制御装置に脆弱性があることを認め、顧客と協力して同様の事象を防止する取り組みを進めていると述べた。