米5機関が冷凍・冷蔵設備への攻撃を警告、ネット公開の機器は遠隔で加熱される恐れ

　米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）、米連邦捜査局（FBI）、米保健福祉省（HHS）、米農務省（USDA）、米運輸省（DOT）の5機関は米国時間の11月5日、産業用の冷凍・冷蔵設備とコールドチェーン（低温物流）の監視システムを狙った悪意あるサイバー活動を把握しているとして、設備の所有者や運用者に防御を求める共同の文書を公表した。

　文書によると、攻撃者は小売りの食料品店や冷蔵倉庫にある電子式の温度コントローラと、商用冷凍・冷蔵設備のコントローラを狙っている。パッチが未適用の機器やインターネットからアクセスできる機器が対象で、認証の回避、任意のコードの注入、脆弱な設定といった弱点を突いて遠隔から設定を書き換え、機器を連続的な加熱やデフロスト（霜取り）の状態に追い込むおそれがあるという。

　想定される被害は、設備の寿命への影響、火災の危険、在庫の損失だ。不適切に保管された製品を口にした消費者に、間接的な被害が及ぶ可能性もあるとしている。現在の温度が分からなくなる「視認性の喪失（denial-of-view）」の状態に陥るおそれにも触れた。これらのシステムは、医療・公衆衛生、化学、食品・農業、運輸の各分野で、温度の遠隔監視や連続記録、デフロストの管理、省エネの最適化に広く使われている。

　文書は、すぐに取るべき対策として、制御盤などの制御機器をインターネットに公開しないこと、業務用ネットワークとは別に専用のVLAN（仮想LAN）でOT（制御技術）機器を分離すること、既定のパスワードの変更と耐フィッシング性のある多要素認証の導入、サポートが終了した機器の更新などを挙げた。設定温度の範囲を定め、逸脱したときに警報を出すことも求めている。

　CISAのクリス・ブテラ氏（サイバーセキュリティ担当エグゼクティブ・アシスタント・ディレクター代行）は、公表に合わせた声明で「冷凍・冷蔵や監視のシステムに依存するすべての組織は、自らが標的になりうると考えるべきだ」と述べた。

　欧州のスーパーでは冷凍設備の温度が不正に操作される事案が相次いでいる。さらにスウェーデンやベルギーにも被害が広がった。