a group of refrigerators sitting inside of a building
Photo by Homa Appliances on Unsplash

フランスの小売店などの冷蔵設備が2026年10月11日から12日にかけてサイバー攻撃を受け、食品の損失に加え、少なくとも15件の出火が発生しました。フランス政府は、イランのイスラム革命防衛隊（IRGC）に属すると判断するサイバー部隊「シャヒド・カベ」が攻撃を実行したと認定しています。イラン外務省は関与を否定し、フランス側の非難を根拠がなく偏ったものだと批判しました。

冷蔵設備の霜取り設定を変更、食品関連施設にも被害

攻撃では、小売業を中心とする約700拠点の冷蔵制御装置が標的になりました。11日夜から12日にかけて装置が侵害され、霜取りの温度設定が高温に変更されたことで、大量の商品が失われました。食品の損失額は数百万ユーロに上ります。

カルフール、ルクレール、アンテルマルシェなどの小売企業に加え、小規模な精肉店、食肉処理場、協同組合の食品工場にも被害が及びました。フランスの関係機関で構成するサイバー危機調整センター（C4）は、小規模水力発電施設のSchneider Electric製機器が同時期に狙われたことも同じ攻撃に結び付けており、これらの機器への影響は限定的だったとしています。

シャヒド・カベと犯行声明を出す複数の集団

C4は、シャヒド・カベをIRGCの電子・サイバー部門に属する攻撃部隊と位置付け、レザ・サラルバンド氏とマフディ・ラシュガリアン氏が指揮していると認定しています。同部隊は産業用機器を広範囲に狙う破壊工作を行い、主な標的はイスラエルと米国で、フランスなど欧州諸国も対象になっているとの評価です。

C4は、同部隊が「CyberAveng3rs」「Soldiers of Solomon」「Cyber Isnaad Front」など、政治的な目的で攻撃するハクティビストを装う複数の名義を使うとしています。これらの名義には、同部隊が実行した攻撃の一部について公に犯行声明を出す役割があるとの判断です。

フランス側は、同部隊が少なくとも2024年6月から、Schneider Electric、Siemens、Rockwellの産業用制御機器を探索し、接続・操作するスクリプトを保有しているとしています。また、2026年3月から4月には、イスラエルの冷蔵設備を含む産業用制御機器を対象とした、イスラエルと米国の利益への破壊工作について、同部隊が犯行声明を出したと認定しています。

仏政府は通信の特徴や攻撃基盤を照合

C4は今回の関与認定の根拠として、複数の技術的な痕跡を挙げています。冷蔵設備への攻撃に使われた基盤は、同時期にSchneider Electric製機器の偵察にも使われ、その際の通信方式「Modbus」とポート502の利用が、シャヒド・カベの既知の手法と一致したとしています。

ほかにも、機器の探索に使われた検索サービス「FOFA」、攻撃基盤に残ったペルシャ語の使用痕跡、同部隊と関連付ける情報発信先「CyberbanNews」が10月13日から攻撃を取り上げたことを根拠にしています。C4はこれらを組み合わせ、IRGCが攻撃を指示し、シャヒド・カベが実行したと判断しました。

こうした実行者や背後の国家を特定する分析は「アトリビューション（帰属判断）」と呼ばれ、攻撃の痕跡、手法、その他の状況証拠を収集・分析して進めます。政府がその判断を公に示す対応は「パブリック・アトリビューション」と呼ばれます。フランスによる今回の名指しもこれに当たり、政府が国家や組織の責任を公表する行為には政治的なメッセージも伴います。

米国の水道施設では制御装置が侵害され、手動運転へ

シャヒド・カベは、CyberAveng3rs名義で、2023年11月にイスラエルの産業用制御機器メーカーUnitronicsを狙った攻撃についても犯行声明を出しています。同社の制御システムは米国や欧州でも使われています。

米国では2023年11月25日、ペンシルベニア州アリクイッパの水道当局が管理する増圧施設で、Unitronics製のPLCがサイバー攻撃を受けました。PLCは、ポンプなどの機械を自動制御・監視する装置です。水道施設ではポンプの起動・停止や薬品注入量の調整、警報の通知などに使われます。

侵害された増圧施設は、ラクーンとポッターの両地区に送る水の圧力を監視・調整していました。攻撃時に警報が作動し、水道当局はシステムを停止して手動運転に切り替えました。当局のマシュー・モッツ会長は、侵入されたのは高所への送水圧力を調整する設備で、浄水場やその他のシステムではなく、住民に危険はなかったと述べています。

インターネットへの直接接続と初期パスワードの弱点

米国の水道施設への攻撃では、米サイバーセキュリティ・インフラ安全保障庁（CISA）が、インターネットへの露出やパスワード管理の弱さを侵入に利用した可能性が高いと判断しました。水道分野の情報共有組織WaterISACも、直接インターネットに接続されたPLCは機器検索サービスで容易に見つかり、初期パスワードが広く知られていることを問題に挙げています。

Unitronics製機器には、初期の管理者パスワードに関する脆弱性「CVE-2023-6448」があり、ネットワーク経由で機器に接続できる攻撃者が、認証なしで管理権限を取得できるものでした。

この脆弱性は設定・開発ソフト「VisiLogic」のバージョン9.9.00で修正されています。CISAは水道施設向けの対策として、初期パスワードの変更、PLCのインターネットへの直接接続の解消、遠隔接続時の通信制限や多要素認証、制御プログラムと設定のバックアップを挙げています。