フランスでサイバー攻撃による被害が相次いでいます。10月にはスーパーマーケットの冷蔵・冷凍設備が遠隔操作され、食品が大量に廃棄される事件が発生しました。さらに11月には、今度は血液を保管する施設の冷凍設備が攻撃され、銀行でも約178億円に相当する資金が不正に流出しました。
今回の事件で注目したいのは、サイバー攻撃の対象がパソコンやサーバーだけではなく、冷凍設備や金融システムなど、社会生活を支える仕組みにまで広がっていることです。それぞれの事件で何が起きたのか、被害の状況とともに整理します。
血液バンクの保冷庫がマイナス30℃から110℃に設定変更
11月2日、フランスの血液バンクに関連する3カ所の施設で、血液製剤を保管する冷凍設備に異常が発生しました。通常マイナス30℃に設定されている保冷庫の温度が、最大110℃まで引き上げられる設定に変更されたと報じられています。
今回の攻撃では、血液バンクそのものが直接狙われたわけではありません。血液バンクから冷凍設備の管理を委託されていた外部事業者のシステムが攻撃され、その影響で設備の温度や霜取りの設定が不正に変更されました。
保管されていたのは、輸血に使用する血漿や医薬品の製造に使われる血漿などです。血漿は血液から血球成分を取り除いた液体成分で、さまざまな治療に利用されています。
温度が異常に変更されたことで、保管されていた血液製剤が使えなくなる危険がありました。しかし、監視システムが異常を検知し、施設の担当者が対応したため、血液製剤や検体への被害は確認されていません。保管物は別の施設に移され、医療機関への血液の供給にも影響は出なかったとされています。
今回の事件では、冷凍設備を遠隔監視・操作する仕組みが攻撃に悪用された点が問題になっています。
10月にはスーパーの冷蔵・冷凍設備も攻撃
フランスでは、今回の事件に先立つ10月にも、スーパーマーケットの冷蔵・冷凍設備を狙ったサイバー攻撃が発生していました。
フランスやベルギー、オランダなどの店舗で、冷蔵庫や冷凍庫の温度が遠隔操作によって上昇し、大量の食品が廃棄される被害が出ています。
一部の店舗では、冷凍設備の温度設定が50℃まで引き上げられ、霜取りの時間も通常より長く変更されていました。冷凍食品などが解凍されるだけでなく、設備そのものにも被害が発生したと報じられています。
この攻撃では、冷凍設備を管理するシステムの脆弱性が悪用されたとされています。複数の小売企業や店舗が影響を受け、オランダの大手小売企業アホールド・デレーズは、サイバー攻撃によって第4四半期の売上高が最大2億5000万ユーロ減少する可能性があると明らかにしました。
スーパーの冷蔵設備と血液バンクの保冷庫は、どちらも温度管理を必要とする設備です。ただし、両事件に直接的な関連が確認されたわけではありません。共通しているのは、インターネットなどを通じて遠隔管理される設備が攻撃の対象になったことです。
フランスの銀行でも約178億円が不正流出
冷凍設備だけでなく、金融機関もサイバー攻撃の被害に遭っています。
11月4日、フランスの銀行グループ、クレディ・ミュチュエル・アルケアは、サイバー攻撃によって不正な資金移動が発生したと発表しました。ロイター通信などによると、被害額は約1億ユーロ、日本円で約178億円に相当するとされています。
フランスのメディアなどによると、被害額は1億3300万ドル（約210億円）に上ると報じられています。一方、銀行側はこの金額を正式には確認しておらず、被害額の精査を続けています。約1億ユーロ（約178億円）という報道もあり、最終的な被害額は確定していません。
攻撃者は銀行の口座に不正にアクセスし、他の金融機関へ資金を送金していました。その後、資金は暗号資産に換えられた可能性があると報じられています。
ただし、今回の攻撃で使われたのは顧客の口座ではなく、銀行自身が保有する口座です。銀行側は、顧客の預金や資産に金銭的な影響はないと説明しています。
また、攻撃者は銀行の外部委託先が提供するプラットフォームを経由して侵入したとされています。オンライン銀行のフォーチュネオが侵入経路だったとの報道については、銀行側が否定しています。
銀行は不正な資金移動を確認した後、一部の取引を一時停止し、セキュリティー対策を強化しました。現在は攻撃を封じ込め、取引も順次再開しています。フランスの検察当局も捜査を開始しており、被害資金の回収が進められています。
なお、約1億ユーロという金額は報道された被害規模であり、銀行側は最終的な被害額を確定していません。一部の資金は凍結できた可能性があり、回収に向けた対応も続いています。
外部委託先を経由した攻撃にも注意が必要
今回の3つの事件には、共通する問題があります。それは、企業や施設が直接管理しているシステムだけでなく、外部の事業者が提供するサービスや設備管理システムも攻撃の入口になるということです。
血液バンクでは冷凍設備の管理を委託していた事業者のシステムが狙われ、銀行では外部委託先のプラットフォームを通じて不正アクセスが行われました。
企業が自社のセキュリティー対策を強化していても、取引先や委託先のシステムに問題があれば、そこを経由して被害が及ぶ可能性があります。こうした攻撃は、サプライチェーン攻撃とも呼ばれています。
また、冷凍設備のように、インターネットを通じて遠隔監視や操作ができる機器は、業務の効率化につながる一方で、サイバー攻撃の対象になる危険性もあります。
今回の血液バンクでは警報システムが異常を検知し、被害を防ぐことができました。銀行でも不正な取引を検知して一時停止するなど、被害の拡大を防ぐ措置が取られています。
サイバー攻撃は社会インフラにも影響する
これまでサイバー攻撃というと、個人情報の流出やクレジットカードの不正利用、企業のシステム停止などをイメージする人が多かったのではないでしょうか。
しかし、今回の事件を見ると、攻撃者は金銭や情報を盗むだけでなく、設備そのものを遠隔操作し、社会活動に影響を与えることもできます。
冷凍設備が停止すれば食品や医療用の血液製剤が使えなくなる可能性があります。金融機関のシステムが攻撃されれば、送金や決済など日常生活に欠かせないサービスにも影響が及びます。
特に問題なのは、こうした設備やサービスが外部のシステムとつながり、管理や操作を委託する仕組みが広がっていることです。自社だけでなく、委託先や関連事業者も含めたセキュリティー対策が求められます。
今回のフランスの事件では、いずれも深刻な被害が広がる前に異常が検知されました。しかし、攻撃が成功していれば、食品の大量廃棄だけでなく、医療や金融といった分野にも大きな影響が出ていた可能性があります。
サイバー攻撃は、もはや一企業の情報管理だけの問題ではありません。電気や水道、医療、金融、物流など、社会を支えるさまざまな仕組みを守ることが課題になっています。
