フランスのスーパー冷蔵設備へのサイバー攻撃、露呈したのはAIではなく基本的なセキュリティの欠陥

2026年10月中旬のサイバー攻撃により、ハッカーはIntermarchéやCarrefourの店舗を含むフランス数百のスーパーマーケットで、冷蔵設備の温度を遠隔操作で引き上げた。小売業者は解凍された食品や傷んだ牛乳を廃棄せざるを得なかった。攻撃の実行者と動機は依然として不明である。

この事件を受け、欧州の多くの人々は、先端AIに関する数か月にわたる警告がついに現実となったのかと問いかけた。しかしサイバーセキュリティの専門家はこれを否定する。攻撃者はおそらく従来型の手法を用い、本来インターネットから到達できるはずのない機器を悪用したとみられるからだ。

セバスチャン・ルコルニュ首相が対応を直接指揮し、この攻撃を機に、EUレベルでの連携と情報共有が進められた。首相官邸と協力する安全保障の専門家によると、政府は他の分野で同様の脆弱性がないかを洗い出す会議を開いた。現在進行中のインフルエンザ予防接種キャンペーンでは、ワクチンの保管も温度管理に依存しているという。この分野への攻撃はこれまで確認されていない。

古い欠陥、加速する攻撃

セキュリティ企業Clarotyは以前、標的となった冷凍機器メーカーの一つであるDanfossの製品にソフトウェアの脆弱性を発見しており、Danfossは2025年にこれを修正していた。AIによって攻撃が加速していることを示す例として、Clarotyは元のDanfossの脆弱性を、わずか28分、6ドルで再現したと発表した。フランスとドイツのサイバー当局は、攻撃がおそらく続いていると警告した。ギリシャのサイバー機関は、依然としてオンラインの機器が数百台あると報告した。一方、別の研究グループは、露出しているDanfoss機器の数が大幅に減少したと明らかにしている。

注目すべきは、恐喝の試みはこれまで報告されていない点である。この攻撃は、ロシアが欧州に対するハイブリッド戦を強化している最中に起きた。EUの首脳は、モスクワがサイバー攻撃を用いて重要なサービスを混乱させる可能性があると繰り返し警告してきた。同じ週には、オランダとベルギーのスーパーマーケットでも、関連のない、影響の小さいサイバー事案が発生している。

基本への回帰

今回の件は、制御技術（OT）における長年の弱点を浮き彫りにした。OTとは、物理的な出力を持つ産業機器のことであり、多くの場合、老朽化しており、セキュリティが不十分で、不必要にネットワークに接続されている。CiscoのSplunkでチーフ・テクノロジー・オフィサーを務めるレミ・アンジョルラスは、重要産業に対し、AIを「すべてを解決する魔法のツール」として扱うのをやめ、基本に立ち返るよう求めた。

EUは、重要なインフラ事業者や製造業者にセキュリティ強化を促す法律を採択したが、フランスは国内でその実施が遅れている国の一つである。さらに今回の攻撃は、干ばつやホルムズ海峡での混乱により、欧州の食料安全保障がすでに圧迫されている時期に起きた。