仏スーパー150店超の冷凍設備がサイバー攻撃で過熱、被害は数百万ユーロ

10月11日の夜から12日の未明にかけて、フランスのスーパーマーケットチェーン150店舗以上の冷蔵・冷凍設備がサイバー攻撃を受けた。攻撃により対象機器の温度は最大50℃まで上昇し、一部の店舗では火災も発生した。被害額は数百万ユーロに達した。

攻撃者はDanfossの脆弱性を悪用し、除霜ヒーターのモードを強制的に起動させるとともに温度上限を無効化し、機器を一晩で50〜80℃まで加熱した。セキュリティ企業Clarotyは、冷凍・空調管理プラットフォーム「AK-SM 800A」の内蔵Web管理インターフェースに認証バイパスとコマンドインジェクションの脆弱性を発見した。脆弱性にはCVE-2025-41221とCVE-2025-41222が割り当てられている。

公表済みの研究と攻撃の関連は未確認

Clarotyは8月に調査報告書を公開し、ラスベガスで開催されたDEF CONでも発表した。これに対しNozomi Networksは、自社の分析では今回の攻撃とClarotyが公開した研究との関連を確認できなかったと述べた。

Nozomi Networksによると、影響を受けた機器の大半は古く、パッチが適用されていなかった。Danfossは昨年8月、これらの脆弱性を修正する新しいファームウェアを配布していた。またClarotyは8月、CopelandのXWEBプラットフォームに関する調査も公表し、23件の脆弱性（うち21件が高深刻度）を明らかにした。Copelandの脆弱性は昨年にCopelandへ共有され、同社は2月にファームウェア更新で修正している。