フランスの約700軒のスーパーマーケットで冷却システムが一斉に侵害され、冷蔵庫や冷凍庫が停止した。一部では内部の温度が50度まで上昇し、数量が特定されていない食品が損傷したほか、一部の電気系統では火災も発生した。
攻撃者は、技術者が店舗の冷却システムを遠隔管理できる、インターネットに接続された制御ユニットを標的にした。これらを侵害した後、長時間にわたって霜取り機能を作動させたため、コールドチェーンを維持するどころか温度が上昇した。この事件に関連する影響は、スペイン、ポルトガル、ポーランド、ドイツ、ベルギーでも報告された。
古い装置に存在する既知の脆弱性
調査報告や公開されたセキュリティ警告によると、影響を受けた装置には、デンマークのDanfoss、Dixell、そして米国の親会社Copelandのモデルが含まれていた。Danfossの制御ユニットの一部のモデルでは最近まで、解析可能なファームウェア内の日付に基づいて生成される日次パスワードが使用されていた。数百、または数千の店舗に設置されたモデル間でパスワードが同一だったため、最近の更新を受けていない装置では、そのパスワードを再現することが可能だった。
CopelandおよびDixellのユニットにも、過去数か月間に修正された重大な脆弱性が存在し、管理者と同等の権限による遠隔アクセスを可能にしていた。これは、問題が遠隔接続の存在そのものではなく、古い装置を稼働させたまま、公共インターネットからアクセス可能な状態にしていたことにあったことを示している。
実際に何を防げたのか
Pen Test Partnersの研究者は、いくつかの基本的な対策を講じていれば事件の結果を変えられた可能性があると述べた。対策には、制御ユニットを公共インターネットから切り離すこと、遠隔アクセスをVPNと許可されたIPアドレスのリストの背後に置くこと、既知の認証情報やデフォルトの認証情報を変更すること、ソフトウェアを現行バージョンに更新することが含まれる。
研究者はまた、第三者の機器を、外部の請負業者に属する接続に放置するのではなく、文書化され、組織の管理下にある方法で組織のネットワークに接続する必要性を強調した。Clarotyは昨年10月、このような対策を無視するリスクについて警告しており、米国のサイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）も2月に同様の警告を発表していた。
責任主体と残された教訓
攻撃の背後にいる主体は犯行声明を出していないため、その動機は大規模な破壊工作なのか、国際的または政府系の主体による国境を越えた妨害作戦なのか、依然として確定していない。Copelandは、販売終了しサポートも終了した世代の制御ユニットに脆弱性が存在することを認め、同様の事件を防ぐため顧客と協力していると述べた。DanfossはArs Technicaからの質問に直ちには回答しなかったが、販売終了モデルも議論の対象となっていた。
この事件の重要性は、産業用の小型装置であっても、古いソフトウェアで運用され、アクセスが露出した状態に置かれると、在庫や施設の安全に直接影響を及ぼす運用上の拠点になり得ることを示した点にある。ただし、情報源は侵害された装置の台数や最終的な損失額を確定しておらず、攻撃者の身元や動機も現時点では立証されていない。