0
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

@01rabbit

冷蔵庫がサイバー攻撃された件に続きがあったので調べてみた

0
Posted at

hero-followup.png

作成日: 2026-11-07（JST）
対象期間: 2026-11-03 〜 2026-11-07（前報の対象期間 〜11/04 以降を中心に、前報で未確認だった事項の再確認を含む）
前報: 「冷蔵庫がサイバー攻撃されたらしいので、調べてみた」（2026-11-05）
計測スクリプト: ColdChain-Exposure-Watch（GitHub、MIT License）
読み方: 前報と同じく、一次・二次資料で確認した事実、資料に基づく推定、筆者の分析を区別する。「（推測です）」は根拠が限定的な仮説を示す。

1. 要約

前報は欧州の事案を中心にまとめた。その後、11月4日にEUが共同声明を、11月5日に米国の5機関（CISA・FBI・HHS・USDA・DoT）が共同ファクトシートを公表し、警告は大西洋の両側に広がった。英国でも食肉加工・青果卸の被害が確認され、第2波の影響国は11か国以上になった。

米当局の警告は、欧州側の公的文書より一歩踏み込んでいる。想定される侵入経路として認証バイパス・コード注入・脆弱な設定を列挙し、温度が「見えなくなる」状態（denial-of-view）を想定し、制御器の下流の機器に安全な設定値の上限を設けることを推奨した。ただし製品名・CVE・具体的な事案は記載されておらず、経路は「可能性」として書かれている。CISAの悪用確認済み脆弱性カタログ（KEV）にも、関連する製品の脆弱性は登録されていない。背景には、8月下旬から続く米軍基地内店舗（コミサリー）の冷凍庫障害がある。

前報と同じ方法でShodanの件数を再計測したところ、Danfoss StoreView の件数は2日で2.6倍になった。しかし増加分の大半は、11月4日以降に一部の国で現れた、実機の画面を複製した「おとり」と見られるサービスだった（推測です）。実機に近い指標は横ばいで、警告のあとも露出は目に見えて減っていない。

帰属は依然として確定していない。欧州では親ロシア派ハクティビストの自己申告、米国では匿名当局者による「イラン系の疑い」が報じられ、異なる説が並立している。いずれも技術的根拠は公開されていない。

timeline-followup.png

2. 事実（11/3以降の動き）

2.1 EU共同声明（2026-11-04）

欧州委員会（DG CNECT）、ENISA、Europol EC3、EU CSIRTs Network、EU-CyCLONe の名で公表。要点は以下。

  • 10月11日以降、複数の加盟国で商業用冷蔵システムが影響を受け、11月1〜2日に新たな波が発生した。委員会はこれを「大規模（large-scale）」と形容。
  • 帰属・動機への言及はなし。
  • 各国CSIRTの勧告に従い、露出低減のための即時対応を求める。ENISAは CSIRTs Network の勧告集（CNW-2026-05）をGitHubで公開。
  • サイバーレジリエンス法（CRA、Regulation (EU) 2024/2847）により、メーカーは2026年9月11日から重大インシデントと実際に悪用された脆弱性の報告義務を負う。NIS2対象事業者は国のCSIRTへの重大インシデント報告義務がある。

2.2 米国5機関の共同ファクトシート（2026-11-05）

CISA・FBI・保健福祉省（HHS）・農務省（USDA）・運輸省（DoT）が連名で公表。文書名 "US Government Partners Urge Hardening Industrial Refrigeration and Cold Chain Monitoring Systems"、TLP:CLEAR、3ページ、"As of November 5, 2026"。以下は原文PDFで確認した内容。

項目 原文の記載
認識 発行機関は、産業用冷蔵およびコールドチェーン監視システムを世界的に標的とする悪意あるサイバー活動を認識している
対象 小売食品・冷蔵倉庫の電子温度制御器と商業冷蔵制御器。利用セクターとして医療・公衆衛生、化学、食料・農業、輸送（冷蔵輸送を含む）を挙げる
攻撃手法 未更新またはインターネット到達可能な制御器の脆弱性・弱点を悪用し、設定を遠隔変更して連続加熱・除霜サイクルを強制する可能性がある（may exploit）。経路として「認証バイパス」「任意コード注入」「脆弱な設定」の3つを列挙
想定影響 温度変更による機器寿命への影響、火災リスク、在庫損失、不安全な保管後の製品消費による消費者への間接的被害。現在温度の可視性の喪失（denial-of-view condition）
緩和策（CPG対応付き） ①公開インターネット露出の排除（必要な遠隔アクセスは最新版のFW・エッジ機器で保護）［3.S］ ②OT専用VLANで業務網から分離［3.I］ ③デフォルトパスワード変更・強化、可能ならフィッシング耐性MFA［3.A/3.B/3.F］ ④ファームウェア更新、EOL機器を特定・廃棄・交換するライフサイクル管理［2.A/2.B］（BOD 26-04、BOD 26-02 を参照） ⑤機器・IPアドレスの許可リスト［3.H］ ⑥オフサイト・オフラインのバックアップと復元試験［3.O］ ⑦ログ有効化と定期レビュー。ログが取れないOT資産は通信を収集［3.Q］ ⑧制御器下流の機器に安全範囲内の設定値リミットを定め、逸脱を警報
参考資料 CISA「OTへの脅威を低減する主要緩和策」「Defend the Edge」「Internet Exposure Reduction Guidance」、英NCSCほか「Secure Connectivity Principles for OT」
報告先 CISA 24/7、FBI IC3、HHS（医療供給への影響）。報告事項に「使用された機器の種類」を含む

原文にないもの: ベンダ名・製品名、CVE番号、IoC、具体的な事案（欧州・米軍基地とも）、帰属。文書は「may（〜する可能性がある）」で書かれており、特定の悪用を確認したとは述べていない。

関係者の発言（報道より）: CISA Butera「冷蔵・監視システムに依存するすべての組織は、自分が標的になりうると想定すべき」。FBI Leatherman「複数の重要インフラセクターで世界的にこれらのシステムが標的になっている」。

warnings-compare.png

2.3 米軍基地コミサリー事案（背景）

  • 2026年8月下旬から、約6か所のコミサリー（基地内食料品店）で冷凍庫障害。Reutersが10月29日に報道。
  • 陸軍犯罪捜査部（Army CID）が国防コミサリー庁（DeCA）・国防犯罪捜査局（DCIS）と連携して捜査。10月に仏法執行機関との協力を確認。
  • 侵入経路・機種は非公表。
  • 米当局者2名（匿名）が「イラン系ハッカーを疑っている」と Nextgov に述べた（10月）。具体的な技術的根拠は示されていない。Alt Security の Nahman Khayet は「イラン系の行動パターンに近い」とコメント。
  • 米政府の公式文書は帰属していない。

2.4 英国の被害（第2波に追加）

  • 食肉加工3社（Association of Independent Meat Suppliers 会員）が影響。同協会は「同じソフトウェアを使っていたための巻き添え」と説明。食肉の損失なし。
  • 青果卸 Langridge Organic は、冷蔵庫が遠隔で除霜モードに切り替えられるのを担当者が目視で発見し、インターネットから切断。在庫損失なし。
  • 機器は Copeland XWEB（The Record）。
  • Copeland の発言（Facilities Dive へのメール回答、11/3報道）:「状況の評価を続けており、関係する製品に応じて適切な措置を講じた」「推奨パッチとセキュリティ手順を改めて周知した」「顧客と積極的に連携している」。
  • 同社は Cooling Post に対し、2025年11月に Claroty から特定の XWEB 監視製品の「潜在的な脆弱性」の通知を受け、必要な修正を実装したと説明。修正版はファームウェア 1.13（2026年2月）。CISA ICSA-26-057-10（2026-02-26）の対象は XWEB 300D/500D/500B PRO の 1.12.1 以前。
  • Copeland は、既知脆弱性が今回の攻撃で悪用されたとは明言していない。 The Record の「修正版は8月から提供」との記述は、CISA勧告・Copeland説明（2026年2月）と食い違う。
  • NCSC は露出した脆弱な機器を特定し、夜間に該当企業へ連絡。「影響は最小限」「長年の脆弱性に依存した非高度な攻撃」と評価。

2.5 事業者の確定値・更新

  • ICA（スウェーデン）: 23店舗が影響、うち8店舗で廃棄。機器は外部業者提供で、ICA中央ネットワークの外に接続されていた。
  • Delhaize: 11月3日に全店舗の営業正常化を発表。
  • Colruyt（ベルギー）: 「複数のサプライヤーで問題」と説明。被害5店舗は独立運営。

2.6 他社の露出データ

出典 時点 数値
Forescout（Shodan） 2026-10-22公開 6,017 IP／99か国。XWEB 7,075サービス、StoreView 4,697サービス。AK-SM 800A の80%（3,762観測）が 4.3.1 未満
Unit 42（Cortex Xpanse） 2026-11-05〜06 CERT-FR対象メーカー機器 5,000台超。国別上位: 米国740、中国625、イタリア370、ドイツ262、フランス234、スペイン220
Unit 42 フランス推移 10月前半 1,853 → 10月後半 558 → 11月前半 316

Unit 42 は「露出＝脆弱ではない」と注記。計測手法が異なるため、Forescout・Censys・本稿の独自計測との直接比較はできない。

2.7 CISA KEV の登録状況

CISA が公開する KEV カタログ（悪用が確認された脆弱性の一覧）の JSON を、2026-11-06 版（1,769件）で照会した。

  • 前報 7.3 で追跡指標に挙げた6件（CVE-2025-41450／41451／41452、CVE-2026-21718／24663／25085）は、いずれも未登録。
  • ベンダ名 Danfoss・Copeland・Dixell・Emerson での登録もなし。

2.8 前報の「要確認」事項の再確認

  • Forescout 原文: 公開日 2026-10-22（第1波後、第2波前）を確認。2026年1月以降のハクティビスト声明20件超、Z-Pentest が4月26日に10件を声明、2022年のロシア16店・イスラエル40店の前例、の記載を原文で確認した。仏事案で「短時間の連続した設定変更」が観測され、自動化を示唆するとの記述がある。

3. 独自計測：警告のあと、露出は減ったか

3.1 方法

前報 3.4.1 と同じく、Shodan の count API による件数集計のみを行った。IPアドレスの取得、機器への接続、認証の試行はしていない。

  • 第7回: 2026-11-07 09:49〜09:50 JST（38クエリ）。前報の第3〜6回（2026-11-05 10:21〜10:48 JST）と同じクエリ・除外条件で再計測した。
  • 第7b回: 2026-11-07 09:57〜09:58 JST（39クエリ）。第7回で見えた急増の内訳を確認した。
  • 比較は「実行日から数えた同じ長さの期間」で行った（直近7日・16日）。日付を固定した条件（例: after:29/10/2026）は、後日実行すると期間が延びるうえ、Shodan は同じIP・ポートについて最新のバナーだけを保持するため、比較に使わなかった。
  • 除外条件は前報と同じ（cloud・honeypot タグを除外。StoreView はさらに iiNet 名義を除外）。
  • 単位は検索に一致したサービス（バナー）の件数であり、実機台数ではない。
  • 計測スクリプトは GitHub で公開している（ColdChain-Exposure-Watch）。記事の計測は、exposure_count.py（第7回）と surge_breakdown.py（第7b回）の元になった版で行った。計測データは、事業者名・ASN・証明書の情報・HTMLハッシュを伏せた加工版を、同じリポジトリで公開している。加工前のデータは公開しない。

3.2 結果：件数は急増、実機に近い指標は横ばい

指標（直近16日） 11/05 11/07 差
StoreView 検索件数 964 2,536 +1,572
　うち旧タイトル「Danfoss StoreView」 957 2,453 +1,496
　うち新タイトル「Danfoss - StoreView Web」 169 175 +6
StoreView のうち TLS を使うもの 357 347 −10
XWEB 検索件数 5,178 5,186 +8
XWEB のうち TLS を使うもの 417 414 −3
XWEB PRO 94 95 +1

exposure-trend.png

StoreView の増加分は、ほぼすべてが11月4日以降に一部の国で現れた件数だった。

国 11/05 直近7日 11/07 直近7日 うち11/4以降
オランダ 22 1,140 1,125
中国 12 142 141
香港 0（上位外） 114 114
ラトビア 0（上位外） 57 57
シンガポール 0（上位外） 56 56
フランス 121 185 132
米国 42 48 33

この5か国を除くと、直近16日の件数は 905 → 1,007（+11%）にとどまる。

3.3 急増した分の正体

第7b回で、急増した国の11月4日以降の分と、従来からの分（フランスの11月4日以前）を比べた。

特徴 11/4以降に急増した分（オランダ） 従来からの分（フランス・11/4以前）
回線 単一のホスティング事業者が 1,131件中 1,120件 国内の通信事業者に分散
ポート 1ポートに1件ずつ、多数のポート（11、13、15、17…） 80・8080・443 などの定番が上位
画面（HTML） 1種類が 99.6% 複数の版が混在（最多の1種類で約27%）
TLS 1,131件中 5件 TLS 1.2 だけで 119件

香港（114件、2社で100%）、ラトビア（57件、1社で100%）、シンガポール（56件、1社で100%）も同じ傾向で、HTMLは4か国とも同じ1種類だった。このHTMLは、従来からのフランスの実機群（通信事業者の回線上）にも 1,144件中 308件あり、実機の旧ログイン画面と同じ内容と考えられる。

中国の増加分（141件）は性質が異なる。大手クラウド2社の上にあり、HTMLが1件ごとに異なる。冷蔵制御器かどうかも判断できない。

decoy-signature.png

3.4 判定

  • オランダ・香港・ラトビア・シンガポールの増加分は、①単一または少数のホスティング事業者、②実機と同じログイン画面、③多数のポートに1件ずつ応答、④TLSなし、の四つが揃う。冷蔵制御器の実機が数日でこのような形で現れるとは考えにくく、実機の画面を複製したおとり（ハニーポット）である可能性が高い（推測です）。計測時点で Shodan は honeypot タグを付けていなかった。
  • 画面のHTMLは実機と同じため、HTMLだけでは実機とおとりを区別できない。回線・ポート・TLS を組み合わせて見る必要がある。
  • 実機に近い指標（TLS件数、通信事業者の回線上の件数）は横ばいである。警告のあとも、実機と見られる露出は目に見えて減っていない。
  • 米国は、前報と同じ除外条件では StoreView 89件、XWEB 19件で、どちらも上位にない。一方、前報時点の計測データ（前報には未掲載）では、除外条件をかける前の StoreView で米国が 1,053件と最多で、うち 974件に cloud タグが付いていた。

なお、急増した分を運用している事業者の名称は、おとりの運用者を特定させないよう本稿では記載しない。

3.5 自分でも測ってみたい方へ

本章の計測に使ったスクリプトを、GitHub で公開している。

ColdChain-Exposure-Watch（MIT License）

  • exposure_count.py：冷蔵設備の管理画面の件数を、期間・国・製品の系統ごとに数える。定点観測用
  • surge_breakdown.py：件数が急増したとき、その内訳（回線・ポート・画面・TLS）の偏りを調べ、おとりかどうかを見分ける手がかりにする
  • sanitize_for_publication.py：計測結果から事業者名や証明書の情報を取り除き、公開できる形にする

Shodan の count API だけを使い、IPアドレスの取得や機器への接続は行わない。exposure_count.py は、既定の設定で本章と同じ検索条件になる（期間は実行日から数える）。

露出は一度測って終わりではなく、推移を追ってはじめて対策の効果がわかる。各国や業界で観測を続ける人が増えれば、おとりに惑わされない「実機の露出」の推移も見えやすくなる。結果を公開するときは、必ず sanitize_for_publication.py を通した版を使ってほしい。

4. 分析

4.1 米当局の警告は何が新しいか

欧州側の CERT-FR 警報は、CVEを引用せず侵入経路も特定しなかった。米当局は「認証バイパス」「任意コード注入」「脆弱な設定」を想定される経路として列挙した。ただし原文は「may exploit（悪用する可能性がある）」という書き方で、製品名もCVEもない。同じ CISA が管理する KEV にも関連の登録はない。つまり米当局も、特定の脆弱性が悪用されたことを公式には確認していない。

列挙された経路は、既知の公開脆弱性と符合する。Danfoss AK-SM 800A（CVE-2025-41450 認証バイパス、CVE-2025-41451 コマンドインジェクション）と Copeland XWEB PRO（CVE-2026-21718 認証バイパス→無認証RCE 等）である。（推測です）Copeland も今回の攻撃後に「推奨パッチを改めて周知した」と述べており、パッチ未適用機器が関係した可能性を示唆するが、悪用を認めたわけではない。個別事案でどのCVEが使われたかは、どの当局・ベンダも公表していない。

もう一点、denial-of-view の明示は注目に値する。欧州事案で報告された操作は「設定を変える」段階に留まっていたが、米当局は「温度が見えなくなる」状態を想定している。これは攻撃者が異常を隠すフェーズを懸念しているということであり、前報で防御の決め手とした「独立監視」そのものが攻撃対象になりうる、という警告と読める。緩和策に「制御器下流の機器での設定値リミットと逸脱警報」が入っているのは、制御器や監視が乗っ取られても下流側で安全範囲を保つ、という多層防御の発想である。

defense-layers.png

4.2 露出統計を読むときの注意

3章の計測は、警告や報道のあとに露出統計がおとりで膨らむことを示している。件数だけを見れば「露出が2.6倍に増えた」と誤読しうるし、逆に、おとりを含む集計が「対策が進んでいない」証拠として使われるおそれもある。

他社の数値も同じ注意を要する。Unit 42 は米国を露出首位（740）としているが、本稿の計測では、前報と同じ除外条件をかけると米国は上位に入らない。前報時点で、除外前の StoreView では米国が最多で、その大半に cloud タグが付いていた。計測範囲（4メーカー全体か、2製品か）と手法（Cortex Xpanse か Shodan か）が違うため単純比較はできないが、クラウド上のおとりなどを含めるかどうかで順位が入れ替わる可能性がある。（推測です）「米国が最多」とも「米国は少ない」とも断定せず、方法によって結果が分かれることを前提に読むべきである。

実機の露出の推移を追うには、件数そのものより、TLS件数や通信事業者の回線上の件数のように、おとりの影響を受けにくい指標を併記するのがよい。

4.3 帰属の構図

地域 説 根拠 公的確認
欧州 親ロシア派ハクティビスト（Z-Pentest/NoName057(16)） 自己申告（11/4）、Forescout の事前観測、手口の一致 なし。Sekoia「技術的証拠なし」
米国 イラン系 匿名当局者の「疑い」、民間研究者の「パターンが近い」 なし

両説は矛盾するとは限らない。(a) 複数主体が同じ露出機器群を並行して攻撃している、(b) 米軍コミサリー事案と欧州事案は別件、のどちらも成り立つ。NCSC が「非高度」と評価し、Forescout が「自動化を示唆」と述べていることから、露出機器の列挙と設定変更を自動化した攻撃者であれば、国家・非国家を問わず実行可能である。公開情報から主体を特定することはできない。

なお、Nextgov の記事がイラン説の文脈として「中間選挙後の対イラン追加攻撃計画」に言及している点は、帰属判断に政治的文脈が混入しうることを示している。CTIとしては、証拠と文脈を分けて扱う必要がある。

4.4 英国事例が示すこと

Langridge Organic の事例は、担当者が「冷蔵庫が勝手に除霜に切り替わる」のを目視で気づき、物理的に切断して在庫を守った。EFS（血液事業）が監視・警報で守ったのと同様、制御器を奪われた後にも介入の余地があることを示す。一方、「同じソフトウェアを使っていたための巻き添え」という業界団体の説明は、標的が選ばれたのではなく、露出していたから当たったという見方を補強する。

5. 結論

  1. 警告は欧州（EU共同声明 11/4）と米国（5機関ファクトシート 11/5）の両方から出た。米側は侵入経路（認証バイパス・コード注入・脆弱な設定）と監視妨害（denial-of-view）を想定し、下流での設定値リミットを推奨する点で、欧州側より踏み込んでいる。
  2. 第2波の影響国に英国が加わった。Copeland は推奨パッチを再周知したが、既知脆弱性の悪用は認めていない。米当局のファクトシートも「可能性」として経路を列挙するに留まり、KEV にも登録はない。個別事案での悪用は未確認のまま。
  3. 独自計測では、警告のあとも実機と見られる露出は減っていない。StoreView の件数の急増は、11月4日以降に現れたおとりと見られる（推測です）。露出統計は、おとりを含むかどうかで大きく変わる。
  4. 帰属は欧州・米国で異なる説が並立し、いずれも未立証。
  5. 前報の「Forescout 原文未確認」は解消した。同社の観測（第1波前からの声明20件超、自動化の示唆）は、継続的キャンペーンの存在を裏付ける独立した材料になる。

6. 未解明事項・注意点

  • CISA ファクトシートは原文で確認済み。ベンダ名・CVE・具体的事案・帰属の記載はない。
  • 米軍コミサリー事案の機種・侵入経路は非公表。
  • Copeland は既知脆弱性の悪用を明言していない。The Record の「修正版は8月から」は他資料（2026年2月）と食い違う。
  • Unit 42 の露出数は Cortex Xpanse 独自の計測であり、Shodan/Censys ベースの数値と単純比較できない。
  • 3章のおとり判定は、Shodan の集計値（事業者・ポート・HTML・TLS）に基づく推定であり、個々のホストへの接続確認はしていない。Shodan の honeypot・cloud タグ付き件数の照会は、クエリ構文の制約で取得できなかった。
  • 中国の増加分（141件）の性質は判断できない。
  • 第3波の発生は11月7日時点で確認していない。

7. 出典

公的機関

技術・分析

報道

0
0
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
0
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?