セキュリティー

フランス・スーパーの冷蔵庫が50℃に｜サイバー攻撃の手口と日本の対策

2026年10月12日の朝、フランス各地のスーパーで開店準備に入った従業員が冷凍庫を開けると、冷気ではなく熱気が出てきました。アイスクリーム売り場の温度表示は26.5℃。冷蔵室の中は50℃に達し、スプリンクラーが作動して倉庫が水浸しになった店もありました。

原因は故障ではなく、サイバー攻撃です。攻撃者は夜のあいだに、数百店の業務用冷蔵・冷凍設備を遠隔から操作し、冷やすための機械を「加熱装置」に変えてしまいました。生鮮食品と冷凍食品はほぼすべて廃棄となり、一部の店では発煙や出火も起きています。

「そもそも、なぜスーパーの冷蔵庫がインターネットにつながっているのか」「日本のコンビニやスーパーは大丈夫なのか」と疑問に思った方も多いはずです。今回は、2026年10月14日時点の報道と公的機関の発表をもとに、事件の全体像と、日本の事業者が今すぐ確認すべきことを整理します。

この記事でわかること

  • 冷蔵庫が50℃になった攻撃の手口（霜取り機能の悪用）
  • 被害店舗数と損失額（チェーン別の一覧）
  • 標的になったDanfoss製システムと既知の脆弱性
  • 犯人・背後関係の捜査状況
  • 業務用の冷蔵庫がインターネットにつながっている理由
  • 日本のコンビニ・スーパーの現状と、今すぐ確認すべき6項目

先に結論

  • 攻撃者は店舗の冷蔵設備を一括管理する制御装置を乗っ取り、霜取り運転を長時間続けさせて庫内を最高50℃にした。被害は350店超、損失は全国で数千万ユーロ規模の見通し。
  • 狙われたのは、更新が止まった旧型や古いファームウェアのまま、管理画面がインターネットに直接さらされていた機器。「つながっていたこと」より「むき出しだったこと」が致命的だった。
  • 日本でも冷蔵設備の遠隔監視は普及している。国内被害は確認されていないが、保守業者に「どこから・誰が・何を操作できるか」を確認しておくべき。
家庭の冷蔵庫の話ではなく、お店の「冷やす仕組み全体」が夜中に乗っ取られた事件です。食品を扱う事業者なら、他人事ではありません。

フランスの冷蔵庫サイバーアタック事件

目次

1. 霜取り機能を乗っ取られ、冷蔵庫が一晩で50℃になった

攻撃は2026年10月11日の夜から12日の未明にかけて行われました。攻撃者は冷蔵設備の「自動霜取り（デフロスト）」を連続運転させ、設定温度を50℃に固定しました。霜取りは、冷却器に付いた霜をヒーターで溶かすための機能で、本来は短時間だけ動いて冷却に戻ります。この機能を止まらないようにされたため、冷やすための設備が夜通し庫内を温め続けました。

不正操作が始まった時刻は店によって違います。パリ近郊の店舗経営者は午前3時ごろに警報を受け、ノルマンディーのIntermarché Grand-Couronne店は午前4時45分ごろに被害を受けています。Intermarché・Nettoを運営するLes Mousquetairesは、冷蔵設備が夜間に6時間にわたって加熱されたと説明しました。

ル・モンド紙が取材したボルドー近郊グラディニャンのIntermarchéでは、攻撃は午後11時ごろに始まり、翌朝4時に配送ドライバーが倉庫の浸水に気づくまで発覚しませんでした。冷蔵室は50℃に達してスプリンクラーが作動しました。攻撃者は霜取り時間を通常の約1時間から最大8時間に延ばし、警報の発報も遅らせたと報じられています。

被害は温度上昇だけでは終わりませんでした。マンシュ県のIntermarchéは庫内が80℃に達し、什器の一部が溶けたと説明しています。マイナス20℃前後から40〜50℃への急な温度変化で煙が出た冷蔵庫もあり、パリ検察は出火も報告しています。

霜取り機能が「武器」になった仕組み

  • 通常：冷却 → 短時間の霜取り（ヒーターON・冷却停止）→ 冷却に戻る
  • 今回：霜取りを数時間続けさせ、目標温度を50℃に設定 → 断熱された箱の中でヒーターが動き続ける
  • 結果：冷凍庫・冷蔵庫が「保温庫」になり、在庫が全損
冷蔵庫を壊したのではなく、もともと付いている機能の設定を書き換えただけ。だからこそ夜中の無人時間に気づけませんでした。

2. 被害は350店超、損失は全国で数千万ユーロ規模の見通し

被害を受けた店舗は少なくとも350店で、400〜500店に達するとの見方もあります。店舗数は各社の発表のたびに上方修正されており、まだ確定していません。フランス国内の食品小売店は約1万5,000店とされ、全体から見れば一部ですが、主要チェーンが軒並み被害を受けました。

チェーン被害店舗数備考
Intermarché／Netto（Les Mousquetaires）約150店→300店当初発表から倍増。BBCは180店と報道
Coopérative U（Super U など）100店前後報道により「100店未満」「100店超」と幅あり
Carrefour80店約6,000店中
Monoprix約30店約490店の約5%
E.Leclerc複数店店舗数は非公表

損失額も確定していませんが、店舗単位の数字からその大きさがうかがえます。アルザス地方では、アグノーのIntermarchéが冷凍品を全廃棄して約5万ユーロ、ワッスロンヌのLeclercが生鮮と冷凍を廃棄して約22万ユーロ、この2店だけで約27万ユーロの損失になりました。ブルターニュのIntermarché 1店でも、精肉を含む生鮮品を全廃棄して約5万ユーロの損失が出ています。

全体の見通しについて、BBCの初報は「数百万ユーロ」と伝えましたが、Les Mousquetaires代表は、フランス全体で数千万ユーロ規模になると見込んでいます。さらにIntermarchéは、今回のような事象が保険で補償されない可能性を問題の一つに挙げています。

被害店舗は、陳列ケースを空にして執行官の確認を受けてから食品を廃棄する手順を踏む必要がありました。健康リスクを避けるため、温度が上がった食品は原則としてすべて撤去されています。Les Mousquetairesは冷凍品は翌日から配送できる一方、肉や魚は補充に時間がかかるとして、週末までの正常化を見込んでいます。

6時間温度が上がるだけで、1店舗あたり数万〜20万ユーロ以上が消えます。しかも保険が効かないかもしれない。これが「設備を止める攻撃」の怖さです。

3. 標的はDanfoss製の「店舗の司令塔」、多くは更新が止まった旧型だった

標的になったのは、デンマークの産業機器メーカーDanfossの冷蔵管理システム「AK-SM」「AK-SC」シリーズです。フランス政府のCERT-FR（ANSSI傘下の緊急対応チーム）は10月12日、この2系列で多数の侵害を把握しているとする警戒情報を出しました。

これらは冷蔵庫1台ずつのコントローラーではなく、店舗内の冷凍冷蔵設備をまとめて動かす中央管理装置（システムマネージャー）です。ブラウザの管理画面から、温度のしきい値、霜取りのスケジュール、警報、ユーザー管理、遠隔メンテナンスまでを操作できます。ここを乗っ取られると、店舗の冷蔵設備すべての設定を一度に書き換えられてしまいます。

Danfossは「影響を受けたのは保守終了品や古いファームウェアの機器」と説明

Danfossは、影響を受けた機器の大半がソフトウェアやセキュリティの更新を受けられない保守終了品だったと説明しています。名前が挙がっているのはAK-SM800とAK-SC355で、現行製品のAK-SM800Aも古いファームウェアのまま稼働していました。同社は以前から、最新ファームウェアへの更新と現行世代への移行を顧客に勧めてきたとしています。

旧型のAK-SC 355は2016年10月末、AK-SC 255は同年12月末で製造を終了しています。つまり、10年近く前に販売が終わった機器が、インターネットにつながったまま使われ続けていたことになります。

現行機AK-SM 800Aにも既知の脆弱性があった（今回の攻撃との関連は未確認）

セキュリティ企業Claroty Team82は2026年8月、AK-SM 800Aの管理画面に関する調査を公表しました。指摘されたのは次の3件で、修正版ファームウェアR4.3.1で対処済みです。

脆弱性内容
CVE-2025-41450認証バイパス（管理者パスワードを知らなくてもログインできる経路）
CVE-2025-41451認証後のコマンドインジェクション（遠隔からのコード実行）
CVE-2025-41452認証後のNginx設定注入によるサービス拒否

Clarotyは、攻撃者が冷却を止めながら、画面上は正常な温度を表示させ続けられる危険も指摘していました。ただし、仏当局もDanfossも、これらの脆弱性と今回の攻撃を結びつけてはいません。首相府関係者は、ANSSIがデンマーク企業製ソフトの脆弱性を特定し、開発元に連絡したと説明しています。

管理画面がネットに直接さらされた機器は、攻撃後も数千台残っている

時点調査主体露出台数
2026年8月Claroty（Censys）AK-SM 800A：2,765台
2026年8月19日Infosecurity Magazine（Shodan）3,726台
2026年10月12日（攻撃当日）Predicta Lab2,752台（うちフランス1,590台）
2026年10月13日ロイター（Shodan）4,500以上の管理画面

スキャンで見つかったDanfoss製コントローラーの約6割がフランスに集中していました。攻撃の翌日になっても数千の管理画面が外から見える状態だったことは、同じ手口が繰り返されるリスクが残っていることを意味します。

高度なハッキングというより、「古い機器を、鍵の甘いまま、外から見える場所に置いていた」ことが狙われました。専門家も、比較的簡単に実行できた攻撃だとみています。

4. 犯人は不明、犯行声明も身代金要求もない

10月13日時点で、犯行声明は出ていません。ハクティビスト（政治目的のハッカー集団）の声明も、サイバー犯罪者からの身代金要求もないことに、捜査関係者は困惑していると報じられています。通常のランサムウェアと違い、今回の攻撃は金銭目的なのか、示威なのか、破壊工作なのか、まだ見えていません。

捜査はパリ検察のサイバー犯罪部門が職権で始め、OFAC（仏サイバー犯罪対策局）に委ねられました。目的は被害者の把握と、食品の損失や出火との関連の確認です。セバスチャン・ルコルニュ首相はANSSIに調査を指示しています。

業界と政治の反応は強いものでした。Coopérative Uのドミニク・シェルシェCEOは、食料供給に欠かせない設備を狙った攻撃を「極めて重大で前例がない」と非難しました。EUの農業・食料担当委員クリストフ・ハンセン氏は、「食料の武器化は現実になった」と投稿しています。

「国家の仕業」と断定する情報には注意

  • マクロン大統領は9月、ロシアの「ハイブリッド攻撃」から重要インフラを守るよう指示したばかりでした
  • 親ロシア派のNoName057(16)は同じ週もフランスへのDDoS攻撃を続けていますが、今回の事件と結びつける証拠はありません
  • ネット上には「国家主導」と断定する記事もありますが、現時点で公的な根拠はありません。今後、便乗の犯行声明が出る可能性もあります
犯人も目的もまだ分かっていません。「誰がやったか」より「同じ穴が自分の設備にないか」を先に考えるのが現実的です。

5. フランス国外にも広がった可能性があるが、公式には未確認

攻撃がフランスだけで終わったかどうかは、まだはっきりしていません。脅威情報会社Sekoiaのアナリストは、スペイン、ポルトガル、ポーランド、ドイツ、ベルギーにも影響が及んだ可能性があるとロイターに語っています。ANSSIも、同じソフトを使う他国の店舗が危険にさらされうるとして、欧州各国の機関と連携しています。

同じ日には、オランダのAlbert Heijnなどを傘下に持つAhold Delhaizeが、ネットワーク内のセキュリティ問題を理由に一部のシステムを止めたと伝えられています。店舗は営業を続けたものの、アプリや配送が止まり、電子棚札が誤表示になりました。フランスの事件との関連は確認されていません。

6. 業務用冷蔵庫がネットにつながるのは、遠隔保守・24時間監視・省エネのため

家庭の冷蔵庫と違い、スーパーやコンビニの冷凍冷蔵設備は、遠隔で監視・保守することを前提に設計されています。日本の感覚では「冷蔵庫がネットにつながっている」こと自体が意外ですが、業務用では珍しいことではありません。理由は主に4つあります。

理由内容
遠隔保守保守業者の技術者が、店に行かずに設定確認や修正を行う。Danfossの保守アプリは、遠隔接続で設定値の読み書きや手動制御までできる
24時間の警報監視夜中に冷凍機が止まれば在庫が全滅する。メーカーや保守業者が監視センターで警報を受け、修理を手配する
省エネ環境省の資料では、標準的なコンビニのエネルギー消費の約3割を冷蔵・冷凍ショーケースが占める。遠隔での運転最適化に大きな経済効果がある
温度記録・故障予知食品安全のための温度記録を自動で残し、運転データから故障を予知する。日本でもHACCP制度化（2021年6月完全施行）以降、温度管理の記録ニーズが高まっている

今回悪用されたのは、まさにこの「遠隔で設定を書き換えられる機能」です。保守業者の便利さのために用意された入口が、攻撃者にも使われました。

問題は「つながっていたこと」ではなく「むき出しだったこと」

CERT-FRは、管理画面がインターネットから直接見える状態は、望ましい運用に反すると指摘しています。本来はVPNや閉域網の内側に置き、保守業者だけがアクセスできるようにすべき「司令塔」が、誰でも接続を試せる場所に公開されていました。Danfossも対策として、ファームウェア更新、ネットワーク保護の強化、インターネットから直接アクセスできる状態の解消を挙げています。

遠隔監視そのものは、食品を守るために必要な仕組みです。危ないのは、その入口に鍵をかけず、表通りに面して置いてしまうことです。

7. 日本のコンビニ・スーパーも遠隔監視は普及済み、国内被害は確認されていない

日本でも、コンビニやスーパーの冷凍冷蔵設備の遠隔監視・集中管理は広く使われています。たとえばパナソニックの冷熱部門は、スーパーやコンビニ向けの冷凍機・店舗設備で国内高シェアを持ちます。2009年から温度やエネルギーを遠隔で管理するサービスを始め、異常監視や警報メールの遠隔保守、AIを使った省エネ運転や故障予知へと広げてきました。

ただし、フランスとは前提が違う点もあります。日本の主力は国内メーカーの設備で、フランスのようにDanfoss製が大量に入っている構図ではありません。また、国内メーカーの遠隔サービスが閉域網なのかインターネット経由なのかといった接続方式は、公開情報からは確認できませんでした。

2026年10月14日時点で、日本国内の被害報告や、国の機関による本件の注意喚起は見つかっていません。国内のスーパー各社の対応状況も、まだ報道されていない段階です。

参考までに、日本では2026年7月にニチレイがサイバー攻撃を受け、冷蔵倉庫の入出庫や冷凍食品の出荷が止まりました。これはサーバー（事務系IT）が攻撃され、被害拡大を防ぐためにシステムを遮断した結果です。設備の制御装置そのものが操作された今回のフランスの件は、一段階踏み込んだ攻撃といえます。

日本で被害が出ていないのは「安全が確認された」からではなく、「まだ起きていない」だけかもしれません。自社の設備がどうつながっているかを知っておくことが第一歩です。

8. 冷凍冷蔵設備を持つ事業者が今すぐ確認すべき6項目

スーパーやコンビニに限らず、飲食店、食品工場、冷蔵倉庫、介護施設など、遠隔監視付きの冷凍冷蔵設備を使う事業者は確認が必要です。多くの場合、設備は保守業者やメーカーが管理しているため、自社だけで判断せず、業者に次の点を問い合わせるのが近道です。

今すぐ確認すべき6項目

  1. 管理画面がインターネットに直接出ていないか：遠隔保守はVPNや閉域網経由に限定する
  2. アクセスできる相手を保守業者だけに絞っているか：CERT-FRの推奨事項
  3. 保守終了の機器を使っていないか：更新が止まった機器はパッチでは直らない。交換計画を立てる
  4. ファームウェアは最新か：現行機でも、古い版のままなら既知の脆弱性が残る
  5. 初期パスワードや不要なアカウントが残っていないか：退職者や過去の業者のアカウントも棚卸しする
  6. 夜間の温度異常警報が誰に届き、誰が駆けつけるか決まっているか：今回は深夜の数時間で被害が確定した

侵害が疑われるときの対応（CERT-FRの手順）

  • まずインターネットとの接続を切る、または強く制限する
  • 工場出荷状態に初期化し、利用可能なすべてのセキュリティ修正を適用する
  • パスワードなどの秘密情報を変更し、既存アカウントを確認する
  • 機器を全面的に再設定する

保守業者への確認は、「どこから・誰が・何を操作できるか」を契約や書面で明文化してもらうのが確実です。口頭の「大丈夫です」だけで終わらせず、接続方式・アクセス元の制限・ファームウェアの版数を具体的に聞いてください。

専門知識がなくても大丈夫です。保守業者に「うちの冷蔵設備の管理画面は、外から見える状態ですか？」と聞くだけで、確認は始められます。

よくある質問

Q. 家庭の冷蔵庫も同じように乗っ取られるのですか？

A. 今回狙われたのは、スーパーの冷蔵設備を一括管理する業務用の制御装置です。家庭用のスマート冷蔵庫で同様の被害は報告されていません。ただし、家庭でもネットにつながる機器を外からアクセスできる状態にしないことは大切です。ルーターの設定も見直しておきましょう。

Q. 日本で売っている食品に影響はありますか？

A. ありません。被害はフランスなど欧州の店舗内で起きたもので、温度が上がった食品は現地で廃棄されています。

Q. 小さな飲食店でも対策が必要ですか？

A. 冷蔵設備に遠隔監視や遠隔保守の契約が付いているなら、確認しておく価値があります。スタンドアロン（ネットにつながっていない）の冷蔵庫だけなら、今回のような遠隔操作の心配はありません。

Q. 自社の設備がDanfoss製かどうか分かりません。

A. 制御盤や機器の銘板にメーカー名と型番が書かれています。分からなければ、設備を納入・保守している業者に型番とファームウェアの版数を問い合わせてください。Danfoss製でなくても、遠隔接続の方式は同じように確認が必要です。

まとめ

  • フランスのスーパー350店超で、冷蔵設備の霜取り機能が遠隔操作され、庫内が最高50℃に。損失は全国で数千万ユーロ規模の見通し
  • 標的はDanfoss製の中央管理装置。保守終了品や古いファームウェアの機器が、管理画面をネットにさらしたまま使われていた
  • 犯人・動機は不明。犯行声明も身代金要求もなく、国外への波及も公式には未確認
  • 業務用冷蔵庫のネット接続は、遠隔保守・24時間監視・省エネのための必然。問題は入口の守り方
  • 日本でも遠隔監視は普及済み。保守業者に接続方式とアクセス制限、機器の保守状況を確認する

今回の事件は、サイバー攻撃が「データを盗む」「システムを止める」だけでなく、「商品そのものをダメにする」段階に入ったことを示しました。食品を扱う事業者にとって、冷蔵設備はもう単なる機械ではなく、守るべきITシステムの一部です。まずは保守業者への一本の問い合わせから始めてください。

冷蔵庫も「パソコンと同じようにアップデートと鍵の管理が必要な機械」になった、というのが今回いちばんの教訓です。

参考リンク

※被害店舗数・損失額は各社が報道機関に回答した数字で、2026年10月14日時点の暫定値です。発表のたびに更新されており、報道ごとに幅があります。「400〜500店」は各社発表を合算した見立てで、公式の集計ではありません。
※グラディニャンの店舗の経過（午後11時ごろ開始、霜取り最大8時間など）は、ル・モンド紙が取材した店主の証言に基づく報道です。
※スペインなど他国への影響はセキュリティ企業アナリストの見解で、公的機関による確認はされていません。
※露出台数は調査時点・調査ツール（Censys、Shodan等）・検索条件が異なるため、単純比較はできません。
※コンビニのエネルギー内訳は環境省の2003年度報告書の資料に基づくもので、現在の店舗では比率が異なる可能性があります。

サイト内検索

-セキュリティー