米国防総省は、8月に複数の軍施設内店舗で発生した冷蔵設備の故障について、サイバー攻撃の可能性を含めて調査しています。フランスでは先に、スーパーの冷蔵設備が遠隔操作され、食品の廃棄や火災につながる事件が起きました。両事件では対象設備や故障の形に共通点があるものの、関連を示す証拠はなく、米国の故障がハッキングによるものかも確認されていません。
冷蔵設備の停止は、機器の修理費だけでなく、食品の廃棄や施設内の物資供給にも影響します。軍施設内の店舗は基地で暮らす人々の日用品を扱うため、供給の滞りは利用者にも及ぶ可能性があります。
7カ所以上の軍施設内店舗で故障
国防総省監察総監室に属する国防総省刑事捜査局が、関係機関と連携して調査を主導しています。国防総省は、進行中の法執行機関による調査について、安全上の理由からコメントを控えています。
8月には少なくとも7カ所の軍施設内店舗で冷蔵設備の故障が発生しました。対象となったのは、カリフォルニア州フォート・アーウィン、ニューメキシコ州ホロマン空軍基地、ロードアイランド州ニューポート海軍基地、アーカンソー州リトルロック空軍基地、ワイオミング州ウォーレン空軍基地、ジョージア州ロビンス空軍基地、アリゾナ州フォート・フアチュカです。
軍施設内の店舗は、基地の要員や家族向けに商品を販売しており、価格は一般のスーパーより平均で約25％低いとされています。冷蔵設備が長時間使えなくなれば、修理費に加えて在庫の損失や、基地内の供給体制にも影響します。ただし、米国の故障による損失額や、機器への不正アクセスが確認されたかどうかは公表されていません。
バージニア・コモンウェルス大学で国土安全保障と緊急時対応を研究するクリストファー・ホワイト准教授は、約2カ月の間にフランスのスーパーと米軍施設内の店舗で似た設備故障が起きた点には警戒が必要だと指摘します。一方で、類似点だけでは同じ攻撃者によるものとは判断できず、米国の事案がサイバー攻撃だったと断定する根拠にもならないとしています。
フランスのスーパー、損失は約27万ユーロ
フランスでは10月、数百店舗の冷蔵・冷凍設備が夜間に操作され、温度が華氏122度（摂氏約50度）を超える水準まで引き上げられました。食品が傷み、一部店舗では火災も発生。被害店舗にはカルフール80店、モノプリ約24店、インターマルシェ150店が含まれます。パリ検察庁は「大規模」な攻撃と表現し、欧州のほかの地域でも同様の故障が報告されました。
インターマルシェとE.Leclercが報告した在庫損失は、合計で約27万ユーロ、約30万ドルと推計されています。ホワイト准教授は、多くのサイバー事件で生じる間接的な損失とは異なり、食品の廃棄は取り戻せない直接的な経済損失になると説明します。設備を後から修理しても、温度管理の失敗で傷んだ食品は元に戻りません。
フランス当局のセキュリティー情報によると、事案にはデンマークのDanfoss製AK-SM、AK-SCシリーズの冷蔵システム用リモートコントローラーと、CopelandのxwebおよびDixell xweb機器が関係していました。対象機器では古いファームウェアが使われており、攻撃者がインターネット経由でアクセスし、脆弱性を悪用した可能性があります。
フランスと米国は、フランスのスーパーを狙った事件について共同で調査しています。国境を越えた協力は、攻撃手法や機器に関する情報共有に役立ちますが、両国の故障が関連していると認定されたわけではありません。
古いファームウェアやアクセス管理が焦点に
カーネギーメロン大学の戦略・技術研究所で助教を務めるナディア・コスチュク氏は、ネット接続機器の機能が増える一方、安全設計が追いつかないケースがあると指摘します。冷蔵設備の制御装置がネットワークにつながっている場合、ファームウェアの更新が遅れていたり、アクセス制御が不十分だったりすれば、攻撃の足がかりになり得ます。同氏は、設計段階からセキュリティーを考慮するとともに、既存機器についても攻撃経路を見直す必要があると述べています。
ホワイト准教授によると、業務用冷蔵システムでは、同じチェーンの複数店舗で類似の機器が採用されることがあります。ある機種の弱点が見つかれば、攻撃者が同じ手法を別の店舗でも使う可能性があります。設備の停止は目に見える経済損失を生み、供給を乱すこともあるため、影響を狙う攻撃者にとって標的となり得ます。
メリーランド大学ボルティモア郡校で国際関係とサイバーセキュリティーを研究するグレゴリー・ウィンガー助教は、ロシア、中国、イラン、北朝鮮などの国家関係の主体が、一見別々に見えるものの、実際にはつながりがある可能性のあるサイバー活動を行う場合があると説明します。同氏は、同盟国間で攻撃の特徴や技術情報を共有することが、こうした活動の特定に重要だと指摘。米軍施設の事案とフランスのスーパーの事件が別々の攻撃者によるものだったとしても、米仏の共同調査には情報交換の意義があるとしています。
軍の後方支援にも及ぶサイバーリスク
米戦略国際問題研究所（CSIS）の記録では、今年9月だけで重大なサイバー事件が10件以上発生しました。Cybersecurity Venturesは、サイバー犯罪による世界経済の損失が今年10.8兆ドルに達する可能性があると推計しています。2015年の3兆ドルと比べると3倍を超える水準です。人工知能の急速な発展に加え、家電や産業機器のインターネット接続が広がり、攻撃手法と標的の双方が増えています。
軍の後方支援施設も、食品や衛生用品など日常物資の供給に依存しています。米海軍の空母「エイブラハム・リンカーン」は265日間の連続展開を終え、今月サンディエゴに帰還しました。イラン戦争に従事していた間、乗組員は食品や衛生用品の不足などに直面し、士気やメンタルヘルスにも影響が出ました。こうした経験は補給の重要性を示しますが、空母と今回の冷蔵設備の調査に直接の関係があることを示す情報はありません。
国防総省は調査結果を公表しておらず、米軍施設の設備故障の原因も確認していません。故障がネットワークへの侵入によるものか、機器に遠隔利用可能な脆弱性があったのか、また米国とフランスの事件に技術面または攻撃主体の関連があるのかが、引き続き調査の焦点です。