スーパーの冷蔵庫が50度に｜フランス全土を襲った冷凍機サイバー攻撃の全貌と日本の盲点

2026年10月11日の夜から12日未明にかけて、フランス全土のスーパーマーケットで冷蔵・冷凍ケースの庫内温度が最大50度まで押し上げられるサイバー攻撃が発生しました。被害は報道ベースで250店舗から700店舗規模。生鮮品と冷凍品が大量に廃棄され、一部店舗では火災や火災警報の作動まで報告されています。

狙われたのは基幹システムではなく、冷凍機を動かす「コントローラー（制御装置）」でした。食品を冷やす箱が、遠隔操作で暖房器具に変えられたわけです。

1. 何が起きたのか（時系列）

2. 被害の規模と損失額

• Intermarche（アンテルマルシェ）：約150店舗。庫内が約6時間にわたり50度に
• Cooperative U（コーペラティブ・ユー）：100店舗前後。経営トップが「前例がなく容認できない」と表明
• Carrefour（カルフール）：約80店舗
• Monoprix（モノプリ）：約490店舗のうち5%程度
• E.Leclerc（ルクレール）：冷凍設備の供給事業者が被害を受け、複数店舗に影響
• 損失見通し：大手の経営者は「全国で1日あたり数千万ユーロ規模」と発言。日本円で数十億円にあたる

3. なぜ庫内が50度になるのか

業務用の冷凍ケースには、熱交換器に付いた霜を溶かす「霜取り（デフロスト）」機能が必ず組み込まれています。通常は数十分おきに短時間だけヒーターを入れ、氷を溶かしたらすぐ冷却に戻る、制御された工程です。

今回は不正プログラムを仕込んだのではなく、この正規機能の設定値を書き換えたと報じられています。霜取りを止めずに回し続け、目標温度を50度にする。機器から見れば「指示どおり正しく動いている」状態なので、異常として検知されにくい。既存機能の悪用という手口の厄介さが、ここに出ています。

4. 犯人はわかっているのか

特定されていません。捜査関係者が困惑しているのは、手がかりの少なさ以上に動機が読めない点です。この種の攻撃には通常、金銭要求か政治的主張が伴います。ところが身代金要求も犯行声明もない。コントローラー上に不正プログラムが残っていないため、解析から攻撃者をたどる足がかりも乏しい。専門家からは「国家が関与するなら、なぜ一部の冷蔵庫だけを狙うのか説明がつかない」「要求がないのは、与える経済的損害の大きさを理解していない相手の可能性を示す」という見方が出ています。

なお同時期にオランダの大手小売グループでも別の障害が起きましたが、当局は今回との関連を否定しています。

5. 他の国やサービスでも起こるのか

起こります。というより条件はすでに世界中で揃っています。機器探索サービスを使った調査では、同系統の管理画面が南アフリカ、米国、英国など複数の国で公開されたままだと確認されています。仏当局も「他国でも同じソフトウェアが使われている可能性がある」として欧州各国との連携に入りました。

警報が1日で対象を広げた点も重要です。当初は1社の製品群が名指しでしたが、翌日には別メーカーの遠隔監視コンソールも加わった。特定製品の不具合ではなく、「遠隔保守のため管理画面を外に置く」という業界慣行そのものの問題です。

6. インフラで同じことが起きる可能性

冷凍設備で成立した攻撃は、構造が同じ分野へそのまま横展開できます。ビルの空調、ボイラー、給排水設備、太陽光の電力変換装置、電気自動車の充電器、倉庫の温度管理。いずれも次の性質を共有しています。

• 機器の寿命が長い：設備は15年から20年使う。情報機器の更新周期と合わず、保守期限切れのまま現役で動き続ける
• 止められない：更新作業には設備停止が伴う。営業中の店舗や工場では後回しにされやすい
• 所有者と管理者が別：機器を持つのは店舗、設定を触るのは保守業者。更新責任の所在が曖昧になる
• 被害が物理に出る：情報漏えいと違い、金を払っても廃棄した食品は戻らない。出火すれば人命に関わる

保守の利便性を優先した結果、一つの穴が全国の店舗へ同時に波及しました。利便性と被害範囲は、常に交換条件です。

7. 日本は対策ができているのか

制度はこの数年で確実に前進しました。能動的サイバー防御を定めたサイバー対処能力強化法は2026年10月1日に本則が施行され、基幹インフラ事業者の資産届出とインシデント報告義務、官民の協議会、攻撃に使われたサーバーへの対処措置が動き始めています。製品側でも、接続機器のセキュリティ適合性を星の数で示す評価制度の運用が始まりました。

露出の実態も楽観できません。制御システムの専門機関は、ネットに露出した設備系機器が増加傾向にあると繰り返し警告しています。外部調査では毎月16万台から18万台が新たに露出し、日本からも約1万5千台が確認されました。評価制度の星印は新しく売る製品の話で、すでに機械室で10年動く冷凍機には届きません。

結論は「制度は整いつつあるが、現場の設備には届いていない」。日本で同じことが起きない理由は、残念ながら見当たりません。

8. 管理側が今すぐやる8項目

1. 管理画面をインターネットから切り離す。遠隔保守は閉域網か仮想専用線（VPN）経由に限定する
2. 自社設備の棚卸し。型番、基本ソフトの版数、保守期限を一覧にする。ここが無いと何も始まらない
3. 更新プログラムが出ている機種は最新版へ。提供が終わった機種は交換計画を立てる
4. 初期設定のままのログイン名とパスワードを洗い出して変更する。不要な利用者登録は削除
5. 保守事業者との責任分界点を契約で明文化する。誰が更新するのかを口約束にしない
6. 温度の逸脱警報を別系統の温度計でも拾えるようにする。制御系が嘘をつく前提で二重化する
7. 侵害された機器は初期化だけで終わらせない。弱点は残るため更新と設定見直しをあわせて行う
8. 食品廃棄と出火を織り込んだ事業継続計画をつくる。保険の補償範囲も確認しておく

まとめ

この事件が示したのは高度な技術ではありません。公開済みの弱点を直さないまま、管理画面をインターネットに出し続けていた。たったそれだけで全国規模の食品廃棄と出火が起きました。専門家が「基本的な衛生管理の失敗」と表現したのは、そういう意味です。

そして犯人も目的もまだわかっていない。身代金すら要求されていない。つまり「壊すだけ」でも成立してしまう攻撃対象が、世界中の街角の店舗に数千台単位で晒されている。明日の日本の話でもあります。

自社の機械室に、何年前の制御装置が、誰のパスワードで、どこからつながっているか。即答できないなら、そこが出発点です。