2026年10月から11月にかけて、ヨーロッパ各国のスーパーで冷蔵・冷凍設備がサイバー攻撃を受け、食品の温度管理が乱される被害が相次ぎました。EUのサイバーセキュリティ機関ENISAは11月4日、欧州委員会や欧州刑事警察機構（Europol）と共同で声明を出し、対象の設備を早急に守るよう事業者に求めています。
「海外の大手スーパーの話」と思われがちですが、狙われたのはインターネット経由で遠隔監視・遠隔操作できる冷蔵設備のコントローラーです。オーストリアの調査では、パン屋や飲食チェーンの設備もネットから見える状態だったと報告されています。この記事では公的機関の発表をもとに、何が起きたのかと、冷蔵ショーケースや冷凍庫を使うお店が確認すべきことを整理します。
EU当局が「大規模」と警告した冷蔵設備への攻撃
ENISAの共同声明（2026年11月4日）によると、2026年10月11日以降、EU加盟国の複数の国で業務用の冷蔵システムなどがサイバー攻撃の被害に遭い、11月1〜2日には新たな攻撃の波も確認されました。声明は欧州委員会やEuropolなどとの連名で、事案を「大規模」と表現しています。
EU各国のCSIRTで作るネットワークが11月3日に出した注意喚起では、小売業の冷蔵設備を遠隔で制御するシステムが狙われたとしています。フランス、ベルギー、ドイツ、イタリア、オランダ、スウェーデン、オーストリアなど10か国以上の当局が、それぞれ自国の事業者に警告を出しました。なお、攻撃者が誰かについて、公的機関は現時点で特定していません。
| 日付（2026年） | 出来事 | 発表元 |
|---|---|---|
| 10月11〜12日の夜 | フランスの複数の小売チェーンで冷凍設備が操作され、冷凍品が温まって傷む被害 | CERT-AT（オーストリア） |
| 10月12日 | フランス当局が冷蔵設備の遠隔コントローラーへの攻撃を警告（13日・16日に更新） | CERT-FR（フランス） |
| 10月22日 | ネットから見える冷蔵設備の管理画面が99の国・地域で約1.3万件見つかったと公表 | Forescout（米セキュリティ企業） |
| 11月1〜2日 | EU各国で新たな攻撃の波 | ENISAほか |
| 11月3〜4日 | EU各国CSIRTの注意喚起、ENISAなどの共同声明 | CSIRTsネットワーク、ENISA |
ネットに「開けっぱなし」だった冷蔵設備の管理画面
今回の攻撃が成立した背景について、フランスの国家サイバー機関CERT-FRは、冷蔵設備の管理画面がインターネットに直接さらされていた点を問題視しています。同機関は、デンマークのダンフォス（Danfoss）の一部シリーズや、コープランド（Copeland）・ディクセル（Dixell）の監視装置など、侵害が多数確認された製品名を挙げたうえで、管理画面をネットに公開すること自体が望ましくないと指摘しました。
米セキュリティ企業Forescoutが10月22日に公開した調査では、ネット上から見つかった冷蔵設備の管理サービスは1万2,976件、99の国・地域にのぼり、古いファームウェア（機器を動かすソフト）のままの機器も多くありました。オーストリアのCERT-ATが国内を調べた際も、管理画面に届く機器が4件見つかり、1件はパン屋、3件は飲食チェーンのものだったと報告されています。
「霜取り」1つで在庫が全滅しかねない店舗側のリスク
冷蔵ショーケースや冷凍庫は、遠隔から温度設定や霜取りのスケジュールを変えられます。便利な機能ですが、第三者に操作されると、気づかないうちに庫内温度が上がり、商品を廃棄せざるを得なくなります。CERT-FRが対策の中で「設定、特に霜取りのスケジュールを見直す」よう求めているのは、ここが狙われやすいからだと考えられます。
影響は廃棄損だけではありません。温度記録に異常が出ればHACCPに沿った衛生管理の説明が難しくなり、気づかず販売すれば食品事故のおそれもあります。日本でも保守会社の遠隔監視サービスや、スマホで庫内温度を見られる機器は広く使われており、「大手ではないから関係ない」とは言い切れません。
冷蔵設備を守るために今週中に確認したい5つのこと
CERT-FRの推奨事項を、お店でも実行しやすい形に置き換えると、次のようになります。機器の操作は自己判断で行わず、設備の保守会社と相談しながら進めてください。
1. 遠隔監視・遠隔操作の有無を保守会社に確認する
まずは、店の冷蔵・冷凍設備に遠隔監視機能が付いているか、どのような方法で外部とつながっているかを保守会社に問い合わせます。導入時に業者が設定したまま、店側が把握していないケースは少なくありません。
2. 管理画面がネットに直接公開されていないか確かめる
CERT-FRは、管理画面をインターネットから直接見える状態にせず、VPN（暗号化された専用の通信路）などの保護された経路だけで接続するよう求めています。業者の接続元IPアドレスだけを許可する方法は、あくまで緊急時の一時的な対策と位置づけられています。保守契約や保険の条件に関わる場合もあるため、通信を止める前に契約内容も確認しておきましょう。
3. 初期パスワードとファームウェアを見直す
購入時のパスワードのまま使っていないか、ファームウェアが最新かを確認します。CERT-FRは、メーカーが示すセキュリティ設定を適用することも挙げています。サポートが終了した古い機器をネットにつないだままにすることは、侵害される可能性が非常に高いと警告されています。
4. 温度と霜取りの設定を定期的に目で見て確かめる
開店前・閉店時の温度チェックに、霜取りの時刻や回数が変わっていないかも加えると、異常に早く気づけます。設定画面を写真で残しておくと比較が簡単です。
5. 温度異常のときの連絡先と手順を決めておく
庫内温度の異常に気づいたときに、誰が保守会社へ連絡し、どの商品を販売停止にするかを決めておきます。なおCERT-FRは、乗っ取られた機器を初期化するだけでは不十分で、外部公開をやめたうえで設定し直す必要があるとしています。
冷蔵庫も「ネットにつながる店の設備」として守る時代に
ヨーロッパの事例は、POSレジやパソコンだけでなく、冷蔵設備も攻撃の対象になることを示しました。原因の中心は、管理画面のネット公開、初期パスワード、古いファームウェアといった基本的な設定です。費用をかけた大がかりな対策の前に、まずは保守会社への1本の問い合わせから始めてみてください。
オーストリアではパン屋さんの冷蔵設備までネットから見えちゃってたんだって。うちのショーケースのパスワード、買ったときのままになってないか、今週中に業者さんに聞いてみようね！
出典
- ENISA「Joint statement on cyber incidents in refrigeration systems across the EU」（2026年11月4日）
- EU CSIRTs Network「CNW-2026-05 Cyberattacks targeting Retail Sector Refrigeration Facilities」（2026年11月3日）
- CERT-FR「CERTFR-2026-ALE-012 Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération」（2026年10月12日初版、10月13日・16日更新）
- CERT-AT「In Frankreich wurden Kühlanlagen manipuliert – geht das auch bei uns?」（2026年10月13日）
- Forescout「Cold Chain, Open Control: Exposed Refrigeration Systems Reveal Global Risk」（2026年10月22日）
