仏700店で冷蔵庫攻撃イラン否認

仏スーパー700店超で冷蔵庫が標的に、イランは関与を否定

フランスの食品小売700店舗以上で、冷蔵・冷凍設備の遠隔制御システムがサイバー攻撃を受け、設定温度が勝手に引き上げられて出火や食品の大量廃棄につながった。フランス政府はイラン革命防衛隊(IRGC)系のハッカー集団による攻撃だと公式に認定したが、イラン外務省は「根拠のない一方的な非難」として強く否定している。

この事案は、単なる情報漏えいではなく、物理的な設備制御(OT: 運用技術)を乗っ取って食品インフラそのものを破壊する「サボタージュ型」のサイバー攻撃として位置づけられている。農業・食品流通分野でもIoT機器やクラウド管理型の設備が急速に普及する中、同種のリスクは日本の生産現場やアグリテック企業にとっても無縁ではない。

公式サイトを見る

何が起きたのか

攻撃の概要

• 発生日:2024年10月11日・12日(第1波)、11月に第2波
• 対象:デンマークDanfoss社の冷蔵・冷凍設備の遠隔制御ソフトウェア
• 手口:冷蔵庫コントローラーを遠隔操作し設定温度を異常上昇させた
• 結果:複数店舗で出火、食品が腐敗・廃棄され被害額は「数千万ユーロ規模」と推定

フランスのサイバー危機調整センター(C4)は調査の結果、攻撃を「IRGCのサイバー・電子センター傘下にあるShahid Kaveh攻撃部隊」に帰属させたと発表した。仏外務・欧州省は「規模と攻撃性において前例のないキャンペーンであり、国内で純粋にサボタージュ目的で実行された初のサイバー攻撃作戦」と位置づけている。

被害を受けた事業者

被害はCarrefour、Monoprix、E.Leclerc、Coopérative U、Intermarchéといった大手食品小売チェーンに加え、個人経営の精肉店、と畜場、協同組合の食品加工工場にも及んだとC4は明らかにしている。11月の第2波ではルクセンブルク、ベルギー、スウェーデン、オランダなど欧州各国の100店舗以上にも被害が拡大した。

仏政府の対応とイランの反論

仏当局はパリ検察を通じて「自動データ処理システムへの不正アクセス」「危険な手段による組織的損害」「外国勢力(イラン)への加担を目的とした加重犯罪」などの容疑で司法捜査を開始すると発表した。あわせて、攻撃に関与したイランの個人・団体への新たな制裁措置の検討も表明している。

一方イラン外務省は声明で、仏政府の主張を「根拠のない一方的な非難」と断じ、「イスラム共和国への常套的な非難政策を強く非難する」と反論した。双方の主張は真っ向から対立しており、独立した第三者機関による検証結果は本稿執筆時点で確認されていない。

事案の構図を整理

食品・農業分野への示唆

今回の攻撃は小売店舗の冷蔵設備が標的だったが、精密農業(センサーで圃場を区画ごとに管理する手法)やスマート畜舎、冷蔵輸送など、生産現場でも同様の遠隔制御型IoT機器の導入が進んでいる。制御システムが外部ネットワークに接続されている以上、理論上は同種の攻撃対象になり得るという点は、規模拡大を目指す農業法人やアグリテック企業にとっても無視できない論点だ。

特に輸出や広域流通を手がける事業者は、海外のサプライチェーン上のパートナー企業が攻撃を受けることで、自社の物流や販売に間接的な影響を受けるリスクもある。一方で、中小規模の生産現場にとっては、専任のセキュリティ担当者を置くコスト負担や、IT人材不足という現実の壁もあり、対策の優先順位付けは経営判断として悩ましい論点であり続けている。

まとめ

フランスの食品小売700店舗以上を襲った冷蔵庫遠隔制御システムへのサイバー攻撃は、仏政府がイラン系ハッカー集団の関与を認定した一方、イラン側は全面的に否定しており、事実関係は国家間の主張が対立したまま決着していない。確かなのは、物理設備を乗っ取るサボタージュ型攻撃が食品インフラを直接脅かした事例として記録された点だ。規模拡大を目指す農業法人やアグリテック企業にとっても、遠隔制御機器の導入とセキュリティ投資のバランスは今後向き合うべき経営課題になり得る。

公式サイトを見る

あなたの現場では、遠隔制御・IoT機器の導入とセキュリティ対策のバランスをどう考えていますか。あなたの現場の声を、記事下のアグリコメで聞かせてください。

参考

Iran denies it was behind cyberattacks on French supermarkets(agfundernews.com)