欧州各地で、生活や公共サービスを支える設備を狙ったサイバー攻撃や爆破予告が相次いでいる。スーパーの冷蔵設備が遠隔操作されたほか、フランスでは血液保管設備が攻撃を受け、爆破予告を受けた数十便が進路を変更した。一部の便は戦闘機に護衛された。英スカイニュースとアイルランドの公共放送RTÉにも爆破予告が届いている。食品・医療物資の保管や航空運航、報道業務に影響が出ているが、実行者は特定されておらず、各事案の関連性も確認されていない。
スーパーの冷蔵設備、設定温度が50度に
月曜日、ベルギー、ルクセンブルク、スウェーデン、オランダのスーパーで、冷蔵設備の設定温度が最高50度（華氏122度）に引き上げられているのが見つかった。対象にはAhold Delhaize、IKEA、Colruyt Group、Carrefourなどが含まれる。高温で食品が傷むおそれがあり、各社は影響を受けた商品の対応を迫られた。
欧州で同様の事案が起きたのは今回が初めてではない。10月にはフランスの数百店舗がサイバー攻撃を受け、冷凍庫の温度上昇や食品の廃棄、火災などが発生した。その後、フランスの血液保管設備の冷却システムも攻撃対象となった。食品供給と血液の保管に欠かせない設備が狙われたことで、被害は個別企業の損失にとどまらない可能性がある。
ストックホルム大学准教授でサイバーセキュリティ専門家のFredrik Blix氏は、一部の冷蔵設備の制御システムがインターネットに直接接続され、初期設定のパスワードや推測されやすい認証情報を使っていると指摘する。こうした状態では高度な技術がなくても、攻撃者がシステムを見つけて悪用できる可能性がある。Blix氏は、事案が注目を集めることで模倣犯が現れるおそれにも言及した。国家や国家支援を受けた主体の関与は排除できない一方、システムの限界を試す行為やいたずらの可能性もあるという。
実行者やロシアとの関係は未確認
英国王立防衛安全保障研究所（RUSI）の研究員Sidharth Kaushal氏は、スーパーの冷蔵設備を狙った事案を、欧州で疑われている破壊活動やハイブリッド脅威の一環として見る必要があると述べた。関連する動きとして、バルト海の海底ケーブル損傷、欧州の防衛企業幹部への殺害予告、2024年にDHLの貨物機で爆発物が見つかった事件を挙げている。
スーパーへの攻撃がロシアに関係している場合、欧州の政策決定者にウクライナ支援の代償を意識させる狙いがある可能性をKaushal氏は指摘する。ただし、攻撃をロシアが実行したと示す証拠はない。
ハイブリッド戦術は、サイバー攻撃や破壊活動、偽情報などを組み合わせ、明確な軍事衝突に至らない形で社会を混乱させる。Kaushal氏によると、各国の備えには差がある。フィンランドとスウェーデンは冷戦期の経験を生かし、比較的整備された民間防衛体制を築いてきた。一方、欧州の多くのインフラは経済効率を重視して設計され、防護面の備えが十分でないという。北大西洋条約機構（NATO）は、2022年の「ノルドストリーム」パイプライン破壊後、海底ケーブルや天然ガス管など重要インフラの安全に重点を置いている。
RUSIで欧州安全保障を研究するOana Popescu-Zamfir氏は、欧州は新たな安全保障環境への対応が遅れており、代理ネットワークを通じたハイブリッド攻撃に今後も直面する可能性があると述べた。ネットワーク接続された設備への攻撃は、血液備蓄を損なうなど実害につながり得るほか、日常サービスが守られていないという市民の不安を強める。実行主体とクレムリンとの関係が直接的でない場合もあり、責任の追跡を難しくしているという。
企業の対策と責任分担に課題
Blix氏は、産業用制御システムなどの運用技術を、適切な安全対策なしにインターネットへ直接接続しないことが基本だと指摘する。一方、設備メーカー、保守会社、小売企業の間で、セキュリティ対策の責任分担は明確でない。保守会社が作業の利便性から遠隔アクセスを開放し、小売企業が取引先に十分なセキュリティ要件を求めていない場合もある。関係者が複数にまたがるため、脆弱性への対処や責任の所在を定めるのは容易ではない。
欧州では生活費をめぐる抗議や騒乱、ストライキも起きている。国際安全保障・経済戦略センターの会長兼政策責任者Alexander Anderson氏は、国内の不満を安易に外国の干渉と結びつけるべきではないと警告した。ロシアや、場合によっては中国を含む主体が社会の分断を拡大させようとする可能性はあるが、不安定化のすべてが外部勢力によるものではないという。
フランスでは抗議活動やストライキが、政府による財政運営の負担を増している。欧州各国はエネルギー価格の高止まり、根強いインフレ、低成長、財政赤字にも直面し、借入コストの上昇が家計支援の余地を狭めている。冷蔵設備への攻撃や航空便への脅威をめぐる責任はなお特定されておらず、影響を受けたサービスの復旧状況と、重要インフラに必要な防護策が講じられているかが焦点となる。