この記事の要点
- 「冷蔵庫攻撃」とは、スーパーや倉庫などの業務用の冷凍・冷蔵設備を、インターネット経由で遠隔操作する装置（コントローラ）が乗っ取られ、庫内の温度を上げられる攻撃です。家庭用の冷蔵庫の話ではありません。
- フランスでは2026年10月から被害が相次ぎ、政府機関のCERT-FRが「数多くの侵害」を把握していると警告しました。米国では11月5日にCISAやFBIなど5機関が、日本では11月9日に国家サイバー統括室が注意喚起を出しています。
- 狙われたのは、インターネットに管理画面が公開されたままの機器や、メーカーのサポートが終わった古い機器です。
- この攻撃は、サイバー攻撃が「情報を盗む」ものから、温度や設備といった「現実のモノを止める・壊す」ものへ広がっていることを示しています。
- 影響は企業の中にとどまらず、消費者の生活にも及びます。家庭のネット機器も同じ条件を抱えており、消費者一人ひとりのセキュリティ意識も欠かせません。
2026年10月、フランスのスーパーで冷凍・冷蔵ケースの温度が勝手に上がり、大量の食品が廃棄される事態が相次ぎました。原因は、冷蔵設備を遠隔で監視・制御する装置へのサイバー攻撃でした。被害はほかの欧州の国にも広がり、11月には米国政府が、続いて日本政府も事業者に注意を呼びかけています。
この記事では、いわゆる「冷蔵庫攻撃」で何が起きたのか、日本の事業者が今すぐ確認すべきことを整理します。そのうえで、この攻撃から見えてくる「これからのサイバー攻撃の変化」を考えます。
何が起きたのか
| 時期 | 出来事 |
|---|---|
| 2026年10月12日 | フランスのCERT-FR（政府のセキュリティ対応機関）が、冷凍・冷蔵設備の遠隔コントローラ（Danfoss AK-SM・AK-SCシリーズ）について「数多くの侵害」を把握していると警告 |
| 10月13日 | CERT-FRが対象にCopeland xweb・Dixell xwebを追加 |
| 10月16日 | CERT-FRが推奨対策を更新。攻撃キャンペーンは「おそらく現在も続いている」と指摘 |
| 11月5日 | 米国のCISA・FBI・保健福祉省・農務省・運輸省が、産業用冷凍設備とコールドチェーン監視システムを狙う活動について共同で注意喚起 |
| 11月9日 | 日本の国家サイバー統括室が、冷凍・冷蔵設備を運用する事業者に注意喚起（時事通信報道） |
報道によると、フランスでは国内のスーパー約1万店のうち約700店が被害を受けたと経済・財務相が説明しています。冷蔵ケースが50℃で6時間運転され、食品をすべて廃棄した店舗もありました（SecurityWeek）。米国の注意喚起は、温度の変更によって在庫の損失や設備の寿命の低下だけでなく、火災の危険や、安全でない状態で保管された食品・医薬品を消費者が口にする危険にもつながると指摘しています。
一方で、攻撃者がどうやって侵入したのかは公式には特定されていません。犯行声明も身代金の要求も出ておらず、攻撃者も分かっていません。
攻撃の手口として分かっていること
インターネットに公開された管理画面
CERT-FRは、被害を受けた機器の具体的な侵入経路は示していませんが、管理画面をインターネットに公開すること自体が「よい慣行に反する」と明記し、まずインターネットから切り離すよう求めています。遠隔からの保守が必要な場合も、安全なVPNや保護されたネットワーク経由に限るべきで、保守業者の接続元IPアドレスだけを許可する方法は「一時的な措置」にとどめるべきだとしています。
サポートが終わった古い機器
CERT-FRは、セキュリティ更新が提供されない機器（EOL）をインターネットに公開し続けることは「侵害のリスクが非常に高い」と警告しています。報道によると、メーカーは、被害を受けた機器の多くがすでにサポートを終えた古い機種だったと説明しています（SecurityWeek）。
乗っ取ったあとにできること
米国の注意喚起は、攻撃者が「認証の回避」「任意のコードの注入」「弱い設定」を悪用して設定を書き換え、冷蔵設備を暖め続けたり、霜取り運転を続けさせたりできると説明しています。さらに、現在の温度を見えなくする（denial-of-view）おそれも挙げています。温度の異常に気づけなければ、被害はそれだけ広がります。
再起動や初期化だけでは不十分
CERT-FRは、侵害された機器を工場出荷状態に戻すだけでは「不十分」だとしています。攻撃者が仕掛けたものは消えても、機器の弱点は残るため、インターネットに公開したままでは再び侵害される可能性が高いからです。
日本の事業者も無関係ではない
冷凍・冷蔵設備を遠隔で監視・制御する仕組みは、日本でも広く使われています。スーパーやコンビニ、飲食店のチェーン、食品工場、物流倉庫、病院や薬局の医薬品の保管庫などです。設備メーカーや保守業者が、遠隔から温度の監視や設定変更をしているケースも多くあります。
問題は、こうした機器が情報システム部門の管理の外にあることが多い点です。設置や保守は設備業者に任せていて、インターネットにつながっているのか、パスワードは初期設定のままなのか、サポートはいつまでなのか、社内の誰も把握していない――ということも珍しくありません。
今すぐ確認したい8つのこと
| 確認すること | 具体的に |
|---|---|
| 1. インターネットから見えていないか | 冷凍・冷蔵設備の管理画面が、社外から開ける状態になっていないかを保守業者に確認する |
| 2. 機種とサポート期限 | 使っているコントローラの型番と、メーカーのセキュリティ更新がいつまで提供されるかを確認する |
| 3. 初期パスワード | 管理画面のパスワードが初期設定のままになっていないかを確認し、変更する |
| 4. 遠隔保守の経路 | 保守業者がどの経路で接続しているかを確認し、VPNなど保護された経路に限る |
| 5. 温度異常の気づき方 | 設備の画面とは別の温度計やアラートで、異常に気づける仕組みがあるかを確認する |
| 6. 設定値の上限 | 温度や霜取りの設定に、安全な範囲の上限・下限が設けられているかを確認する |
| 7. 契約と保険 | 保守契約で、セキュリティの対応範囲と、異常時の連絡・対応の責任を確認する |
| 8. 侵害が疑われたら | 再起動や初期化だけで済ませず、インターネットから切り離したうえで、メーカー・保守業者・専門家に相談する |
日本政府の注意喚起も、自社の設備だけでなく委託先の設備も対象に、外部から接続できる状態になっていないかの確認、初期パスワードの変更と権限の見直し、温度異常を現場や責任者にすぐ知らせる体制づくりを求めています（時事通信）。
冷蔵庫攻撃からひも解く、これからのサイバー攻撃の変化
今回の攻撃は、冷凍・冷蔵という特定の設備の問題にとどまりません。これからのサイバー攻撃がどう変わっていくのかを示す、いくつかの特徴があります。
1. 「情報を盗む」から「モノを止める・壊す」へ
これまで企業が警戒してきたサイバー攻撃の多くは、情報を盗む、システムを暗号化して身代金を求める、というものでした。今回の攻撃が奪ったのは情報ではなく「温度」です。結果として起きたのは食品の廃棄であり、米国の注意喚起が指摘するように、火災や健康被害にもつながり得ます。工場の設備、ビルの空調、物流の機器など、ネットワークにつながる「モノ」が増えるほど、サイバー攻撃は現実の被害に直結するようになります。
2. 狙われるのは「誰も管理していない機器」
パソコンやサーバーには、ウイルス対策や更新の仕組みが整ってきました。一方、設備業者が設置した制御機器や、何年も前に導入した機器は、更新も監視もされないまま動き続けていることがあります。攻撃者は、守りの固い入り口ではなく、こうした「管理の空白」を探します。VPN機器がランサムウェアの主な侵入口になってきたのと同じ構図です。
3. 公開された機器は、すぐに見つかる
インターネットに公開された機器は、攻撃者が自動で探索しています。今回も、フランスで警告が出た直後から、公開されたままの管理画面の数が調査会社によって数えられ、その数は数日で大きく減りました（SecurityWeek）。裏返せば、公開されていれば数日のうちに見つかるということです。「うちのような小さな店は狙われない」という前提は通用しません。
4. 身代金を求めない攻撃
今回は、身代金の要求も犯行声明もありません。目的が分からない攻撃は、金銭目的の攻撃を前提にした備え（バックアップから戻す、交渉するなど）だけでは対応できません。IPAの「情報セキュリティ10大脅威2026」でも「地政学的リスクに起因するサイバー攻撃」が6位に入っており、社会を混乱させること自体が目的の攻撃も想定しておく必要があります（IPA）。
5. 委託先・保守業者が入り口になる
遠隔保守の仕組みは便利な一方、保守業者の接続経路や管理方法が、そのまま自社の弱点になります。10大脅威2026で2位の「サプライチェーンや委託先を狙った攻撃」と同じく、自社で直接管理していない部分まで含めて守ることが求められます。日本政府の注意喚起が「委託先の設備」まで対象にしているのも、このためです。
6. 「見えなくする」攻撃
米国の注意喚起が挙げた「温度を見えなくする」攻撃は、被害そのものより発見を遅らせることを狙います。監視の画面が正常を示していても、実際には異常が起きているかもしれない――。設備の画面だけに頼らず、独立した仕組みで異常に気づけるようにしておくことが、これからはより重要になります。
CSRIの見解：攻撃の影響は企業の外へ。消費者一人ひとりも当事者に
今回の攻撃で最終的に影響を受けるのは、店の棚から商品が消えて困る消費者です。米国の注意喚起は、安全でない温度で保管された食品や医薬品を消費者が口にすることで、間接的に健康被害が生じるおそれにも触れています。サイバー攻撃は、もはや「企業のIT担当者の問題」ではなく、私たちの生活そのものに関わる問題になりつつあります。
そして、攻撃が狙う「管理されていない機器」は、企業の中だけにあるわけではありません。
家庭の機器も、冷蔵庫攻撃と同じ条件を抱えている
家庭にも、Wi-Fiルーター、見守りカメラや防犯カメラ、スマート家電、スマートスピーカーなど、インターネットにつながる機器が増えています。パスワードが初期設定のまま、ソフトウェアが更新されていない、メーカーのサポートがすでに終わっている――。これは、今回狙われた業務用の冷蔵設備とまったく同じ条件です。乗っ取られた家庭の機器は、持ち主が気づかないうちに、ほかの企業や組織を攻撃する「踏み台」として使われることもあります。
企業から漏れた情報が、個人を狙う
企業への攻撃で漏れた氏名や連絡先、購入履歴は、その人を狙った詐欺メールや詐欺電話に使われるおそれがあります。漏れた情報が詳しいほど、本物と見分けにくい連絡が届くようになります（関連記事：情報漏えいの連鎖でフィッシングはどう変わるか）。企業の事故は、利用者一人ひとりのリスクに直結しています。
消費者が今日からできること
- 家のネット機器の初期パスワードを変える：ルーターやカメラの管理画面のパスワードを、初期設定から変更する
- 更新を止めない：機器の自動更新をオンにする。サポートが終わった古いルーターなどは買い替えを検討する
- 買うときにサポート期間を確かめる：ネットにつながる製品は、いつまで更新が提供されるかを確認する。IPAの「JC-STAR」の適合ラベルは、製品のセキュリティ機能を確かめる手がかりになる（ただしIPAも、ラベルが完全なセキュリティを保証するものではないとしている）
- パスワードの使い回しをやめ、多要素認証を使う：1つのサービスから漏れたパスワードで、ほかのサービスまで乗っ取られるのを防ぐ
- 漏えいの公表を確認する：自分が使っているサービスが漏えいを公表していないかを確認し、該当すればパスワード変更などの案内に従う（個人情報漏洩のニュース一覧）
- 不審な連絡は公式の窓口で確かめる：メールやSMSのリンクからではなく、公式サイトや公式アプリから確認する
サイバー攻撃は、企業のIT、工場や店舗の設備、そして家庭へと、ネットワークにつながるあらゆる場所へ広がっています。企業が対策を進めることと、消費者一人ひとりがセキュリティを「自分ごと」として意識すること。その両方がそろって、初めて社会全体の守りが強くなります。
CSRIからのアドバイス
今回の攻撃の教訓は、「インターネットにつながっている機器はすべて、攻撃の入り口になり得る」ということです。パソコンやサーバーだけでなく、冷蔵設備、空調、監視カメラ、複合機など、社内でネットワークにつながる機器を一度洗い出してみてください。
例えるなら、店の正面玄関には鍵をかけて防犯カメラも付けているのに、業者用の裏口の鍵は、設置したときのまま誰も変えていない――という状態です。泥棒は正面ではなく、その裏口を探します。
まず今週中に、冷凍・冷蔵設備などの保守業者に「管理画面がインターネットから見えていないか」「パスワードは初期設定のままでないか」「機器のサポートはいつまでか」の3点を問い合わせてください。自社からインターネットに公開されている機器を外から調べる「外部公開機器の診断（ASM）」を使えば、把握できていない機器を見つける手がかりにもなります。
よくある質問
Q. 家庭の冷蔵庫も狙われますか？
今回狙われたのは、スーパーや倉庫などで使われる業務用の冷凍・冷蔵設備の遠隔コントローラで、家庭用の冷蔵庫の被害は報告されていません。ただし、インターネットにつながる家電は増えており、初期パスワードの変更やソフトウェアの更新といった基本は家庭でも同じです。
Q. 設備の保守を業者に任せていれば安心ですか？
業者に任せている場合でも、インターネットに公開されていないか、パスワードは変更されているか、機器のサポートは続いているかは、発注者として確認しておくべきです。日本政府の注意喚起も、委託先の設備を含めて確認するよう求めています。
Q. 異常があったら、再起動すれば元に戻りますか？
CERT-FRは、工場出荷状態に戻すだけでは不十分だとしています。機器の弱点が残るため、インターネットに公開したままでは再び侵害される可能性が高いからです。まず機器をインターネットから切り離し、メーカーや保守業者、専門家に相談してください。
Q. 攻撃したのは誰ですか？
2026年11月10日時点で、攻撃者は公式には特定されておらず、犯行声明や身代金の要求も確認されていません。侵入経路についても、各国の政府機関は特定の脆弱性と結びつけていません。
まとめ
「冷蔵庫攻撃」は、インターネットに公開されたまま、更新もされずに動き続ける機器が、現実の被害に直結する攻撃の入り口になることを示しました。冷凍・冷蔵設備を使う事業者は、保守業者と一緒に、公開状況・パスワード・サポート期限・異常の気づき方を確認してください。そしてこれを機に、社内でネットワークにつながっている「モノ」全体を見直すことが、これからのサイバー攻撃への備えになります。
インターネットに公開されている機器、把握できていますか？
サイバーセキュリティ総研は、自社からインターネットに公開されている機器や管理画面を外部から調べる診断（ASM）や、設備・端末の監視について、中小企業のご相談をお受けしています。
参照：CERT-FR「CERTFR-2026-ALE-012 Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération」／CISA・FBI・HHS・USDA・DOT「US Government Partners Urge Hardening Industrial Refrigeration and Cold Chain Monitoring Systems」（2026年11月5日）／時事通信「冷蔵庫サイバー攻撃で注意喚起 政府」（2026年11月9日）／SecurityWeek「Supermarket Refrigeration Attack Widens to Copeland, Dixell Controllers」／IPA「情報セキュリティ10大脅威 2026」／IPA「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」
