IoTセキュリティ対策 フランスの冷凍庫サイバー攻撃から学ぶ設備の守り方

2026年10月11日の夜、フランスの数百のスーパーで、冷凍庫と冷蔵ケースが一斉に温まり始めました。

原因は停電でも故障でもありません。店の冷蔵設備をまとめて動かす制御装置が、インターネット越しに乗っ取られていました。

この記事は、この事件を手がかりに、中小企業のIoTセキュリティ対策を「自社の設備」の側から組み立て直すものです。

パソコンやサーバーの守り方はあちこちで語られています。

一方で、冷蔵庫、空調、監視カメラの録画機、入退室の装置は、保守業者が遠隔で見られるようにつないだまま、持ち主が中身を知らないことがよくあります。

読み終えたときに、自社の設備のうちネットにつながっているものを一覧にし、保守業者に何を聞くかが決まっている状態を目指します。

フランスのスーパーで何が起きたのか

まずは事件の中身を、確かめられた範囲で整理します。

フランス政府のサイバー対応窓口であるCERT-FRが、10月12日に警報を出し、13日と16日に内容を更新しています。この記事の技術的な記述は、主にこの警報に拠っています。

冷凍庫が温まった仕組みは霜取りの悪用

業務用の冷凍・冷蔵設備には、庫内に付いた霜を溶かす「霜取り」の運転があります。

フランスの報道によると、通常は1日に2時間ほど行う霜取りが、止まらない運転に書き換えられ、設定温度は50℃に固定されていました。

冷やすための機械が、自分の機能で庫内を温め続けたことになります。

壊すための特別な仕掛けは要りませんでした。もともと付いている機能の設定を変えるだけで、商品が全部だめになります。

被害の広がりと、まだ分かっていないこと

フランスの報道では、被害を受けた店は250〜350店とされ、協同組合系や大手の複数のチェーンにまたがっています。

パリ検察はサイバー犯罪部門で捜査を始めており、検察の発表として冷蔵設備からの「出火」もあったと報じられました。

犯行声明は出ていません。攻撃者が誰なのかも、入口になった弱点がどれなのかも、確定していません。

フランスの国家情報システムセキュリティ庁（ANSSI）の長官は、自身の投稿へのコメントでこう書いています。

「この攻撃の入口になりうる脆弱性は複数あるが、現時点で本当に確定したものは何もない」（フランス語の原文を和訳）

この記事でも、入口を1つに決めつける書き方はしません。確かめられた事実と、そこから中小企業が引き出せる手順を分けて書きます。

項目	確かめられたこと	どこで確かめたか
起きた日時	2026年10月11日の夜から12日にかけて	CERT-FRの警報（初版10月12日）、パリ検察の発表を伝える報道
狙われた機器	冷凍・冷蔵設備を遠隔で制御する装置4系統	CERT-FRの警報（10月13日に機種を追加）
温度が上がった仕組み	霜取りの運転を止まらない状態にし、設定温度を50℃に固定	フランスの報道（テレビ局の取材を引用した技術系媒体）
被害の規模	250〜350店、複数のチェーン、出火もあり	フランスの報道、パリ検察の発表
入口の弱点	未確定。候補は複数あると長官が説明	ANSSI長官の投稿へのコメント
犯人	未確定。犯行声明なし	パリ検察の捜査開始を伝える報道

入口は店の設備をまとめる制御装置だった

狙われたのは、冷蔵ケースの1台1台ではありません。店じゅうの冷凍・冷蔵設備をまとめて監視し、設定を変える制御装置です。

この装置には、温度の記録、異常時の警報、遠隔での保守といった役目があります。

フランスの技術系媒体は、温度の記録と警報が欧州連合の衛生の決まりで求められていることも指摘しています。つまり、つながっているのには理由がありました。

CERT-FRが名指しした4つの系統

CERT-FRの警報は、デンマークのDanfoss社の「AK-SM」と「AK-SC」の2系列、米国のCopeland社の「xweb」、イタリアのDixell社の「xweb」を挙げています。

最初の版はDanfoss社の2系列だけでしたが、10月13日にほかの機種が加わりました。1社の製品の問題として片付かなかったということです。

警報の要約には、こう書かれています。

「一般的に、管理用の画面をインターネットに公開することは、望ましいやり方に反する」（フランス語の原文を和訳）

短い一文ですが、今回の事件の芯はここにあります。設定を変えられる画面が、誰でも届く場所に置かれていました。

修正版は1年以上前に出ていた

Danfoss社の「AK-SM 800A」系列には、2025年に2つの脆弱性が公表されています。

米国の脆弱性データベース（NVD）によると、1つは2025年5月8日公表で、版4.2より前の機器で認証を回避できるものです。

もう1つは2025年8月22日公表で、版4.3.1より前の機器で、ログイン後に機器の上で命令を実行できるものです。

今回の入口がこの2つだったかどうかは、確定していません。

ただ、事件の時点で、修正版は少なくとも1年2か月前に出ていました。

Danfoss社は、乗っ取られた機器は製造を終えた旧型の「AK-SM 800」と「AK-SC 355」か、更新されていなかった「AK-SM 800A」のどちらかだと説明したと、フランスの報道は伝えています。

店の外、保守業者の側から入られた可能性

被害を受けたチェーンの1つは、米国のセキュリティ報道機関の取材に、次のように答えています。

「店舗の冷蔵設備を管理する委託先が受けたとされるサイバー攻撃により、生鮮・冷凍の陳列ケースの一部が使えなくなっている」（英語の原文を和訳）

店の従業員がこの装置の画面を開くことは、まずありません。設定も更新も、冷凍空調の保守業者が遠隔で行っていました。

持ち主が触らない機器ほど、更新の責任があいまいになります。中小企業の設備でも、この構図はそのまま当てはまります。

機器の状態	いま起きていること	次にすること
製造を終えた旧型	修正版がもう出ない。初期化しても弱点は残る	ネットから外し、入れ替えの見積もりを取る
現行機だが更新していない	公表済みの弱点が残ったまま動いている	保守業者に版の番号と更新日を聞く
現行機で更新済み、ネットに直接出ている	画面が誰でも届く場所にある	直接の公開をやめ、暗号化した通り道に移す
現行機で更新済み、社内網の中だけ	外から直接は届かない	初期パスワードが変わっているかを確かめる
状態が分からない	持ち主も保守業者も把握していない	まず一覧に載せ、保守業者に問い合わせる

日本の中小企業にとって遠い話ではない理由

「フランスのスーパーの話でしょう」と感じた方もいると思います。日本の公的な観測の数字を並べると、そうとも言えません。

ネットにつながった機器には13秒に1回、探りが届いている

情報通信研究機構（NICT）は、使われていない約28万のIPアドレスに届く通信を観測しています。2026年2月5日に公開した2025年の観測結果では、攻撃に関係する通信は約7,010億パケットで、観測を始めて以来の最多でした。

総務省の令和8年版情報通信白書は、この数字をこう説明しています。

「2025年の総観測パケット数は各IPアドレスに対して約13秒に1回観測されたことに相当する」

1つのIPアドレスに届いた量は1年で約250万パケットで、2015年の約25万パケットの10倍です。

ネットに直接出した機器は、出した瞬間から、世界中の自動の探索に当たり続けます。

見つかるかどうかの心配は要りません。見つかる前提で考えるほうが現実に合っています。

いちばん狙われているのはIoT機器

同じ白書は、通信の中身についても書いています。

「2024年と同様にIoT機器を狙った通信が最も多く観測されている」

NICTの発表は、狙われる機器の種類にも触れています。

「家庭用ルータや監視カメラの録画機器など、利用者が感染に気付きにくい機器が引き続き標的となっています」

NICTは、IoT機器を乗っ取る不正なプログラムの1つについて、世界で約6万台の機器が感染していた可能性も明らかにしました。

狙う側の手口も広がっています。2025年は、特定の古い窓口（23番ポート）あての通信の割合が14.4%で、2024年の17.9%、2023年の27.1%から下がりました。

代わりに、上位10種類に入らない「その他」の窓口あての割合が61.2%から65.8%に増えています。1つの入口だけ塞げば済む状況ではなくなっています。

ランサムウェアの被害は中小企業が約6割

警察庁が令和8年3月に公表した報告では、令和7年のランサムウェアの被害報告は226件でした。

規模別では中小企業が約6割、業種別では製造業が約4割で、卸売・小売業が続きます。

侵入の経路について、報告はこう書いています。

「攻撃者は、未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備等を悪用して組織のネットワークへ侵入する」

被害に遭った組織へのアンケートでは、侵入経路の6割以上がVPN機器でした。VPN機器は、まさに遠隔保守の入口として置かれることの多い機器です。

復旧に1か月かからなかった組織は5割強にとどまっています。残りの半分近くは、1か月以上かかったことになります。

数字	意味	出典
約13秒に1回	1つのIPアドレスに攻撃関連の通信が届く間隔（2025年）	総務省 令和8年版情報通信白書
約250万パケット	1つのIPアドレスに1年で届いた量。2015年の10倍	総務省 令和8年版情報通信白書、NICT
65.8%	上位10種類以外の窓口あての割合。前年61.2%から増加	NICT 観測レポート2025
約6万台	IoT機器を乗っ取る不正なプログラム1種の推定感染台数（世界）	NICT 2026年2月5日の発表
226件・約6割	令和7年のランサムウェア被害報告と、その中の中小企業の割合	警察庁 令和8年3月の報告
6割以上	ランサムウェアの侵入経路に占めるVPN機器の割合	警察庁 令和8年3月の報告

IoTセキュリティ対策の第一歩は、つながっている設備を数えること

IoTセキュリティ対策というと、専用の製品を入れる話から始まりがちです。中小企業では、その前にやることがあります。

自社の設備のうち、何がネットにつながっているかを数えることです。数えていない機器は、更新も監視もできません。

見落としやすい設備の一覧

パソコンとスマホ以外で、ネットにつながっていることの多い設備を並べます。

下の表の「誰が管理しているか」の列が、そのまま問い合わせ先の一覧になります。

設備	よくあるつなぎ方	誰が管理していることが多いか
業務用の冷凍・冷蔵設備	温度の記録と警報のため、制御装置を遠隔監視につなぐ	冷凍空調の保守業者
業務用の空調	遠隔での運転状況の確認、故障の通知	空調の設備業者、ビルの管理会社
監視カメラと録画機	スマホから映像を見るため、録画機をネットに出す	防犯設備の業者、自社で設置した場合は不明のまま
入退室の装置、電気錠	鍵の発行や履歴の確認をクラウドで行う	防犯設備の業者、不動産の管理会社
複合機	保守業者が使用量や故障を遠隔で確認する	複合機のリース会社
ルータ、VPN機器	社外からの接続、保守業者の遠隔作業の入口	回線業者、社内の詳しい人、前任者

たとえば3店舗を持つ飲食店なら、各店の冷凍庫と冷蔵庫、空調、防犯カメラの録画機、本部のルータで、少なくとも10台を超える行ができます。

1店舗だけの事務所でも、ルータ、複合機、カメラの3行は、たいてい埋まります。

太陽光発電の監視装置、蓄電池、店舗のレジ、ボイラーや給湯の制御盤なども、遠隔監視が付いていることがあります。業種に合わせて行を足してください。

契約書と請求書から探す

現場を歩いて機器を探すより、早い方法があります。

保守契約書と毎月の請求書を見て、「遠隔監視」「リモート保守」「見守り」「クラウド」「通報サービス」といった言葉が入っている契約を拾います。

こうした契約がある設備は、ほぼ確実にどこかでネットにつながっています。

通信の費用が設備業者の請求に含まれている場合は、業者が専用の回線を置いていることもあります。社内のルータを見ても出てこないので、契約書の側から探すほうが漏れません。

ルータの接続一覧で答え合わせをする

契約書から拾ったら、社内のルータの管理画面で、つながっている機器の一覧を見ます。

名前の分からない機器が出てきたら、メーカー名の手がかりを控えて、保守業者に「これは御社の機器ですか」と聞きます。

ある事務所では、接続一覧に見覚えのない機器が2台あり、聞いてみると、空調業者と複合機のリース会社がそれぞれ置いた通信機器でした。

こうした機器は、置いた側が更新を忘れると、何年も同じ版のまま動き続けます。

ルータの管理画面に入れない、パスワードを誰も知らない、という状態も珍しくありません。その場合は、それ自体を一覧に「要確認」として書いておきます。

保守業者に聞く5つのこと

一覧ができたら、設備ごとに保守業者へ問い合わせます。聞く内容は5つに絞ります。

答えは、口頭の「大丈夫です」で終わらせず、番号と日付で返してもらいます。今回の事件では、更新されていたかどうかが分かれ目でした。

聞くこと	答えてほしい形	答えがこうなら要注意
1つ目：機器の型番と、いまの版の番号	型番と版の番号、最後に更新した日付	「調べないと分からない」が続く
2つ目：インターネットから直接画面に届くか	届く／届かない、届かないならどの通り道を使っているか	「パスワードを掛けているので大丈夫」
3つ目：初期パスワードは変えてあるか	変えた日付と、誰が管理しているか	全店で同じパスワードを使っている
4つ目：メーカーのサポートはいつまでか	修正版が出る期限の年月	すでに終わっている、または分からない
5つ目：異常があったとき、誰にどう知らせるか	通知の宛先、夜間と休日の扱い	警報が業者にしか届かない

問い合わせの文面の例

文面は短くて構いません。次のような形で送ると、相手も答えを用意しやすくなります。

「フランスで冷蔵設備の制御装置が乗っ取られた件を受けて、弊社の設備を確認しています。御社で保守いただいている機器について、型番といまの版の番号、最後の更新日、インターネットから直接管理画面に届くかどうか、初期パスワードの変更状況、メーカーのサポート期限を、◯月◯日までに教えてください」

期限を書くのは、後回しにされないためです。

相手を責める文面にはしません。保守業者も、持ち主から聞かれて初めて点検の予算が付くことがあります。

答えが返ってこないとき

2週間たっても答えが無い場合は、契約の担当者あてに電話で催促します。

それでも分からないなら、その設備は「状態不明」として扱い、次の節の手順で、少なくとも直接の公開だけは止める方向で相談します。

分からないまま放っておくのが、いちばん危ない状態です。

CERT-FRの手順を、中小企業向けに読み替える

CERT-FRの警報には、乗っ取られていない場合と、乗っ取られた場合の2通りの手順が書かれています。どちらも「危険な場所から出る」と「使える状態に戻す」の2段に分かれています。

乗っ取られていない場合の手順

警報は、まずネットへの公開を外すよう求めています。

「対象の機器と、公開のIPアドレスに置かれたすべての機器について、インターネットへの公開をやめる」（フランス語の原文を和訳）

対象の機種だけでなく、公開されている機器すべてが対象になっている点に注意してください。

次に、設定をすべて確かめます。

警報は、とくに霜取りの時間帯を見るよう名指ししています。今回の攻撃で書き換えられた箇所だからです。

そのうえで、遠隔の接続は「安全なVPNか、守られたネットワーク経由だけ」に戻し、ファームウェアの更新や初期パスワードの変更といった、メーカーが勧める設定を入れます。

乗っ取られた疑いがある場合の手順

公開を外すところまでは同じです。そのあと、機器を再起動し、だめなら工場出荷時の状態に戻してから、設定をやり直します。

警報の更新前の版を紹介したフランスの技術系媒体によると、パスワードなどの秘密情報を入れ替えること、残っているアカウントを確かめることも勧められていました。

知らないアカウントが増えていないか、という確認は、どの設備でも保守業者に頼めます。

回線を切る前に、保険と契約の条件を見る

CERT-FRの警報には、技術の手順に交じって、こんな一行があります。

「冷凍空調業者へのデータ送信を止める前に、保険契約の条件を確認する」（フランス語の原文を和訳）

温度の遠隔監視が、保険の補償や保守契約の条件になっている場合があるということです。

慌てて線を抜いた結果、商品の損害が補償されなくなっては困ります。つながりを外す前に、保険会社と保守業者の両方に確認してください。

IoTセキュリティ対策の一般的な解説には、まず出てこない視点です。現場で設備を預かる人にとっては、手順の順番を決める一行になります。

自社の状況	いま起きていること	次にすること
管理画面がネットに直接出ている	世界中の自動の探索に当たり続けている	保険と契約を確かめたうえで公開を外す
温度や運転の設定が見慣れない	書き換えられた可能性がある	保守業者に設定の全項目を確かめてもらう
知らないアカウントがある	乗っ取られた疑いがある	初期化と設定のやり直し、パスワードの入れ替え
遠隔保守を止められない	保守業者の作業に必要な通り道がある	暗号化した通り道に移し、使う人を絞る
何も分からない	状態不明のまま動いている	一覧に載せ、2週間以内に保守業者から回答を得る

応急の絞り込みを、そのまま続けない

保守業者の作業を止められないとき、CERT-FRは応急の手として、接続してよい相手のIPアドレスをファイアウォールで絞る方法を挙げています。

ただし、警報はこう念を押しています。

「緊急時には、冷凍空調業者の接続元IPアドレスをファイアウォールで絞るだけの方法も取れるが、恒久的な解決策と考えてはならない」（フランス語の原文を和訳）

ANSSIの長官も、つなぐ必要の無いものはすべて切り離し、少なくとも「詳しいことが分かるまでは、ごく厳しい絞り込み」をするよう呼びかけていました（フランス語の原文を和訳）。

応急の手は、時間を稼ぐためのものです。保守業者の接続元が変われば穴が空きますし、業者の側が乗っ取られれば、その経路ごと使われます。

中小企業の場合、ファイアウォールの設定を自社で変えられないことも多いと思います。その場合は、回線業者かルータを入れた業者に、保守業者の接続元だけを通す設定を頼みます。

頼むときは、保守業者から接続元のIPアドレスを文書でもらい、それを回線業者に渡す形にすると、行き違いが起きにくくなります。

絞り込みを入れたら、いつまでに暗号化した通り道へ移すかを、保守業者と日付で決めておきます。

サポートが切れた機器は、初期化では直らない

CERT-FRの警報の中で、いちばん強い調子で書かれているのがこの部分です。

「修正が出なくなった機器をインターネットに公開し続けることは、その機器を極めて高い確率で乗っ取られる状態に置くことである」（フランス語の原文を和訳）

工場出荷時の状態に戻すと、攻撃者が仕込んだものは消えます。それでも弱点は残るので、ネットにつながっている限り、また乗っ取られると警報は書いています。

設備は10年、15年と使うものです。その間に、制御装置のメーカーのサポートが先に終わることはよくあります。

冷蔵ケースそのものはまだ動くのに、頭脳にあたる制御装置だけが古くなっている。今回乗っ取られた旧型機は、まさにこの状態でした。

入れ替えまでのつなぎ方

入れ替えにはお金も時間もかかります。決まるまでの間は、その機器をネットから外し、温度の確認を現場の目視と記録に戻すしかありません。

手間は増えますが、夜中に設定を書き換えられて商品を全部失うより、ずっと小さな損です。

目視に戻すときは、朝の開店前と夜の閉店後に庫内の温度を紙に書く、という形で十分です。記録が残っていれば、保健所や保険会社に説明するときの材料にもなります。

入れ替えの見積もりを取るときは、新しい制御装置のサポート期限と、更新の方法も一緒に聞いておきます。

サポートの状況	いま起きていること	次にすること
サポート中で最新に更新済み	公表済みの弱点は塞がっている	更新の担当と頻度を契約に書く
サポート中だが更新が遅れている	修正版があるのに入っていない	更新の日程を保守業者と決める
サポートが1年以内に終わる	あと少しで修正版が出なくなる	入れ替えの予算を今期に入れる
サポートが終わっている	新しい弱点が見つかっても直らない	ネットから外し、入れ替えを決める
サポート期限が分からない	終わっているかどうかも不明	型番からメーカーの告知を調べてもらう

初期パスワードと遠隔保守の入口

CERT-FRの警報は、Danfoss社の機器の例として、ファームウェアを更新すること、セキュリティの水準を最も厳しい設定にすること、初期パスワードが変わっているか確かめることを挙げています。

どれも特別な技術は要りません。それでも、設置したときのままになっている機器はたくさんあります。

初期パスワードが残りやすい理由

設備の設置は、電気や配管の職人が行うことが多く、ネットの設定は最後に「とりあえず動く状態」で終わりがちです。

複数の店や現場に同じ機器を入れる業者が、管理しやすいように全部同じパスワードにしていることもあります。この場合、1か所で漏れると全部の現場に入られます。

機器の説明書に初期のパスワードが載っていて、その説明書がネットで公開されていることもあります。型番さえ分かれば、誰でも初期値を調べられます。

保守業者に聞くときは、「変えてあるか」に加えて、「店ごと、現場ごとに違うか」も確かめてください。

遠隔保守の入口がいちばん狙われる

警察庁の報告で、ランサムウェアの侵入経路の6割以上がVPN機器だったことは前に書きました。

遠隔保守のために置いた機器は、社外から入るための扉です。扉そのものが古ければ、鍵を掛けても意味が薄くなります。

VPN機器も、ルータも、設備の制御装置と同じく、版の番号とサポート期限を一覧に載せて管理します。

買い替えや新規導入で見る印、JC-STAR

これから設備や機器を買うときに、手がかりになる制度が日本にもあります。情報処理推進機構（IPA）が運営する、IoT製品のセキュリティ適合ラベルの制度「JC-STAR」です。

経済産業省が2024年8月23日に公表した方針に基づいて作られ、ネットと通信できる幅広いIoT製品を対象にしています。

★1から★4までの4段階

ラベルには★1から★4までの段階があります。

★1はすべてのIoT製品に共通する最低限の要件で、★2は製品の種類ごとの要件を足したものです。この2つは、メーカーが自分で評価して宣言する方式です。

★3と★4は、政府機関や重要インフラ向けを想定し、独立した第三者の評価機関が評価します。

適合ラベルには二次元コードが付いていて、読み取ると製品の詳細やセキュリティ情報の問い合わせ先が分かるようになっています。

ラベルは完全な安全を約束するものではない

IPAは、制度の説明の中で、はっきりこう書いています。

「適合ラベルが付与されているからといって、完全・完璧なセキュリティが確保されていることを保証するものではないことにご注意ください」

ラベルは、最低限の水準を満たしているかを見るための物差しです。買ったあとの更新や、ネットへの出し方まで面倒を見てくれるわけではありません。

IPAは2026年7月31日に、申請が急に増えていて、確認に通常より時間がかかっているとも告知しています。対応する製品は増えている途中です。

見積もりを取るときに「この機器はJC-STARのラベルを取っていますか」と1行聞くだけで、メーカーや業者がセキュリティをどう扱っているかがある程度見えます。

なお、IPAは、受理番号が出る前に「適合ラベル取得申請中」などと書くことを認めていません。業者の資料にそうした表記があったら、仮登録番号が書かれているかを確かめてください。

段階	誰が評価するか	中小企業での使いどころ
★1	メーカーが自分で評価して宣言	ルータやカメラを選ぶときの最低限の目安
★2	メーカーが自分で評価して宣言（製品の種類ごとの要件を追加）	ネットワークカメラや通信機器を選ぶときの上乗せの目安
★3	独立した第三者の評価機関	官公庁や大手企業との取引で求められたとき
★4	独立した第三者の評価機関	重要インフラ向けの想定。中小企業が自分で選ぶ場面は少ない
ラベルなし	評価の情報が無い	サポート期限と更新の方法を、見積もりの段階で文書でもらう

「うちはデータが少ないから大丈夫」が通らない理由

サイバー攻撃というと、個人情報の流出や、データを人質に取るランサムウェアを思い浮かべる方が多いと思います。

今回の事件では、データは何も盗まれていないと報じられています。それでも、商品がまるごと失われ、一部では火も出ました。

IoT機器の乗っ取りは、画面の中で終わりません。

温度、電気、扉の開け閉めといった、現実のものを動かします。守る理由は、データの量と関係なく生まれます。

夜中に起きると、朝まで誰も気づかない

フランスの報道によると、設定の書き換えが夜12時より前に始まった店では、従業員が来るまでの何時間も庫内が温まり続け、在庫をすべて失いました。

書き換えが遅く始まった店では、一部の商品を救えたといいます。

日本の中小企業に置き換えると、金曜の夜に店を閉め、月曜の朝に開ける店では、異常に気づくまで最長で60時間ほど空くことになります。

連休の前なら、もっと長くなります。冷凍庫の中身は、その間ずっと温まり続けます。

攻撃が始まる時刻は、こちらでは選べません。選べるのは、異常に気づくまでの時間です。

温度の警報が保守業者にしか届かない設定なら、店長のスマホにも届くようにしておく。夜間の担当を決めておく。

この2つだけで、被害の大きさが変わります。

警報そのものを止められる可能性も考える

制御装置が乗っ取られると、警報を出す仕組みも同じ装置の中にあるため、通知が止められることがあります。

冷凍庫に、制御装置とは別の電池式の温度計や、別回線の温度通知を1つ置いておくと、二重の見張りになります。高価な仕組みは要りません。

乗っ取られる設備	起きうること	備えておくこと
冷凍・冷蔵設備	庫内の温度が上がり、商品を廃棄する	制御装置とは別の温度計と通知
空調	真夏や真冬に止められ、営業できなくなる	手元の操作盤で運転できるか確かめておく
監視カメラと録画機	映像を外から覗かれる、他への攻撃の踏み台にされる	録画機をネットに直接出さない
入退室の装置	扉が開かない、または勝手に開く	停電時と同じく、手で開ける手順を決めておく
ルータ、VPN機器	社内のパソコンやサーバーに入られる	版の番号とサポート期限を一覧で管理する

業種別に、最初に見る設備

全部を一度に見るのは大変です。業種ごとに、止まったときの被害が大きい設備から手を付けます。

業種	最初に見る設備	理由
飲食店	冷凍・冷蔵庫、冷凍ストッカー	食材の廃棄と、営業の停止に直結する
小売店	冷蔵ケース、レジ、監視カメラ	商品の損害と、来店客の映像の扱いが関わる
介護施設、医療機関	空調、入退室の装置、ナースコール	利用者の体調と安全に関わる
製造業	生産設備の遠隔保守、VPN機器	ランサムウェアの被害で製造業が約4割を占める
事務所	ルータ、複合機、監視カメラ	社内のパソコンへの入口になる

介護施設では、夏場に空調が止まると、利用者の体調にすぐ響きます。冷蔵設備と同じく、手元の操作盤で動かせるかを先に確かめておくと安心です。

小売店の監視カメラは、録画機をネットに出したままスマホで見ている例が目立ちます。来店客の映像が外から覗かれると、商品の損害とは別の問題になります。

製造業の割合は、前に挙げた警察庁の報告の数字です。生産設備の遠隔保守は、冷蔵設備と同じく、設備メーカーや保守業者がつないでいることが多い部分です。

社内で誰が持つかを決める

設備のネット接続は、総務、店長、工場長、情報システムの担当のどこにも属さず、宙に浮きやすい仕事です。

今回の事件でも、設定を触っていたのは保守業者で、店の側は中身を把握していませんでした。

担当を1人決め、一覧の管理と、保守業者への問い合わせをその人に集めます。

総務の担当者が兼ねる形でも十分です。年に1回、保守契約の更新の時期に一覧を見直す、と決めておけば、担当が替わっても引き継げます。

詳しくなくても構いません。誰に聞けばいいかを知っている人がいることが大事です。

保守契約に書いておくこと

次に保守契約を更新するときは、次の項目を契約書か覚書に入れてもらうよう相談します。

• ファームウェアの更新を誰が、どのくらいの頻度で行うか
• 管理画面をインターネットに直接出さないこと
• 遠隔作業に使う通り道と、使う人の範囲
• 初期パスワードを現場ごとに変えること
• メーカーのサポートが終わる1年前に知らせること

口約束のままだと、担当者が替わったときに消えてしまいます。紙に残しておけば、双方の担当が替わっても約束が続きます。

よくある質問

Q1. 自社で冷凍・冷蔵設備を使っていなければ関係ありませんか

関係があります。今回狙われたのは冷蔵設備でしたが、構図は「保守業者がつないだ管理画面がネットに出ていた」というものです。

空調、監視カメラの録画機、入退室の装置、複合機でも同じことが起こりえます。NICTの観測でも、録画機やルータが引き続き狙われているとされています。

Q2. パスワードを掛けていれば、ネットに出していても大丈夫ですか

大丈夫とは言えません。今回名前の挙がった機種には、パスワードの確認を回避できる弱点が過去に公表されています。

CERT-FRも、管理画面をネットに出すこと自体が望ましいやり方に反すると書いています。パスワードは必要ですが、それだけで済ませないでください。

Q3. 保守業者に聞いても、詳しい答えが返ってきません

型番と版の番号、最後の更新日、サポート期限の4つに絞って、文書で答えてもらうよう頼みます。

それでも返ってこない設備は「状態不明」として扱い、少なくとも管理画面のネットへの直接の公開を止める相談を先に進めます。

Q4. 遠隔監視を止めると、保険や保守契約に影響しますか

影響する場合があります。CERT-FRの警報も、データ送信を止める前に保険契約の条件を確かめるよう書いています。

止める前に、保険会社と保守業者の両方に確認してください。遠隔監視そのものは続けたまま、通り道だけを安全なものに変えられないかを、保守業者に相談するのが先です。

Q5. 古い制御装置を初期化すれば、使い続けてもいいですか

ネットにつないだまま使い続けるのは勧められません。CERT-FRは、修正が出なくなった機器は初期化しても弱点が残り、また乗っ取られると書いています。

入れ替えが決まるまではネットから外し、温度の確認を現場の目視と記録で補ってください。

今日できる点検

最後に、今日のうちに手を付けられることを表にまとめます。上から順に、1時間あれば3つ目までは進められます。

点検すること	見る場所	終わったと言える状態
1つ目：遠隔監視の付いた契約を拾う	保守契約書、毎月の請求書	設備と業者の一覧ができている
2つ目：ルータにつながっている機器を見る	ルータの管理画面	名前の分からない機器に印が付いている
3つ目：温度や故障の警報の宛先を確かめる	設備の通知設定、保守業者への確認	店長か担当者のスマホにも届く
4つ目：保守業者に5つの質問を送る	メールか書面	回答の期限を書いて送ってある
5つ目：保険の条件を確かめる	保険証券、保険会社の担当	遠隔監視が補償の条件かどうか分かっている
6つ目：社内の担当を1人決める	社内の打ち合わせ	一覧と問い合わせの窓口が1人に集まっている

まとめ

フランスの事件は、冷凍・冷蔵設備の制御装置がネットに出ていて、更新されていなかったところを突かれたものでした。修正版は少なくとも1年2か月前に出ていました。

日本でも、ネットにつながった機器には約13秒に1回の頻度で探りが届き、いちばん狙われているのはIoT機器です。

中小企業のIoTセキュリティ対策は、専用の製品より先に、つながっている設備を数え、保守業者に番号と日付で答えてもらうところから始まります。

ネットへの直接の公開は、保険と契約の条件を確かめてから外し、遠隔保守は暗号化した通り道に移します。

サポートが切れた機器は、初期化しても弱点が残ります。外したうえで、入れ替えの予算を決めてください。

まずは今日、保守契約書と請求書を机に出して、「遠隔監視」と書かれた契約を1つ見つけるところから始めてみてください。