スーパーの冷蔵庫はなぜ50℃になったのか、フランス数百店舗へのサイバー攻撃とCERT-FRが挙げたDanfoss機器

何が起きたのか、どのチェーンの何店舗か

フランスの通信社AFP、Bloomberg、Reutersなどの報道と、各社が報道機関に説明した内容をもとに並べます。会社が自社のサイトで出した発表は、当社が確認した範囲では見つかっていません（2026年10月14日時点）。

10月11日夜、冷蔵・冷凍設備が外から霜取りの状態にされた

報道によると、2026年10月11日（日）の夜から12日（月）の朝にかけて、フランス各地のスーパーで、冷蔵ケースや冷凍庫の温度が外から引き上げられました。

Bloombergは、インターマルシェを運営するLes Mousquetaires（レ・ムスケテール）の広報の話として、攻撃者が冷却システムに入り込んで霜取り（デフロスト）の状態に切り替え、冷蔵庫と冷凍庫が約50℃に達し、それが約6時間続いたと報じています。店では肉、冷凍食品、野菜を捨てる必要があったとしています。インターマルシェは、対象の店では該当する商品をすべて捨てる必要があり、保険ではこの種の被害が補われない可能性があると説明したと報じられています。

AFPは、顧客のデータは盗まれていないとみられると伝えています。今回の被害は情報の漏えいではなく、温度の管理が崩れて売り物にならなくなった食品と、設備そのものの損傷です。パリ検察は、食品の損失に加え、発火した設備との関係も調べていると報じられています。どの店で何件の発火があったかは公表されていません（2026年10月14日時点）。

チェーンごとの店舗数と、数字に幅がある理由

影響を受けたのは複数の大手チェーンで、店舗数は次のように報じられています。

出典：AFP（La Libre・RTBF・Strategies掲載、2026年10月12〜13日）、Bloomberg（2026年10月12日）、Reuters（ABC掲載、2026年10月13日）。各社が報道機関に答えた数で、会社の公式発表は確認できていません。

インターマルシェ・ネットの数は、報道によって約150店から少なくとも300店まで幅があります。集計した時点や、数に入れた店の範囲が違う可能性があり、どれが正しいかは公表されていません。チェーンごとの数を足し合わせて全体の店舗数を出すことはできない、というのが当社の見方です。

AFPによると、クーペラティブUのシェルシェール氏は13日、80店の大半では温度の管理を保てており、商品を捨てたのは対応が間に合わなかった一部の店だと説明しました。損失は小型の店で数万ユーロ、ハイパーマーケットで18万〜20万ユーロとしています。インターマルシェのトップは、全国で数千万ユーロの損失になるとの見方を示したと報じられています。

Reutersは、セキュリティ企業Sekoiaのアナリストの話として、スペイン、ポルトガル、ポーランド、ドイツ、ベルギーでも影響が出たと報じています。各国の当局による発表は、当社が確認した範囲では見つかっていません。

なぜ冷蔵設備の遠隔監視が狙われたのか

スーパーの冷蔵設備は、離れた場所から温度を見守り、設定を変えられる仕組みになっています。フランスの当局とメーカーの説明から、その仕組みと弱点を整理します。

店の冷蔵設備は、業者が遠くから見守る仕組みになっている

スーパーの冷蔵ケースや冷凍庫は、温度や霜取りの時間を管理する制御装置につながっています。Reutersは、こうした制御盤がインターネット経由で操作でき、保守の会社が遠隔で調整できると伝えています。AFPによると、クーペラティブUのシェルシェール氏は、同社は機器をメーカーから買うのではなく、冷凍設備の業者が提供する仕組みを使っていると説明しています。店、設備業者、機器メーカーの3者がかかわる形です。

今回、狙われたのはデンマークの冷凍・空調機器メーカーDanfoss（ダンフォス）の制御装置だと報じられています。AFPなどによると、Danfossは、影響を受けた機器の大半は旧製品で、ソフトウェアやセキュリティの更新をもう受けていないと説明しました。とくにAK-SM 800とAK-SC 355が影響を受け、現行のAK-SM 800Aでも古いファームウェアのまま使われていたものがあったとしています。

Danfossは2025年10月31日の技術情報誌で、AK-SM 800は2021年5月に正式に「End of Life」（サポート終了）とし、旧製品のサービスをすべて終えると告知していました。AK-SC 355は2016年10月31日に「End of Life」となっています。同じ号では、2022年にロシアでスーパー16店、イスラエルで40店が攻撃を受け、イスラエルの店はいずれもファイアウォールやVPNによる保護が十分でなかったと紹介しています。

セキュリティ企業のClarotyは2026年8月9日、現行機種AK-SM 800Aの管理画面に複数の弱点があり、Danfossが修正版を出していると公表していました。ただ、今回の攻撃でこの弱点が使われたかどうかは、当局もDanfossも公表していません（2026年10月14日時点）。

冷蔵設備が狙われた理由について、当社は次のように見ています。温度を変えるだけで商品が売れなくなるため、データを盗まなくても損害が出ます。また、同じ製品が複数のチェーンで使われていれば、同じ弱点で一度に複数の店に影響が出ます。冷凍設備は長い年数使い続けるため、更新が止まった機器が残りやすい、という面もあります（当社の見方）。AFPによると、仏のセキュリティ企業Almondの専門家は、こうした産業用の機器は、サイバー攻撃からの防御よりも信頼性と費用の抑制を優先して作られてきたと話しています。

パリ検察・ANSSI・CERT-FRの対応と、公表されていないこと

AFPによると、パリ検察は自らの判断で、「複数の大型店のネットにつながった冷蔵庫に及ぶ大規模なサイバー攻撃」（当社訳）について捜査を始めました。サイバー犯罪の担当部門が指揮し、捜査は警察のサイバー犯罪対策局（OFAC）に任されています。被害を受けた店を把握し、食品の損失や発火した設備との関係を確かめるのが目的とされています。検察の発表文そのものは、当社では開いて確認できていません。

ルコルニュ首相は、国のサイバーセキュリティ機関ANSSI（国家情報システムセキュリティ庁）に対応を指示したと報じられています。ANSSIのストリュベル長官は、Danfossの2つのシリーズ（AK-SMとAK-SC）をインターネットから切り離すか、接続をごく限られた相手に絞ることが急いで必要だと述べたと報じられています。

ANSSIの下にあるCERT-FRは10月12日、「冷凍設備の遠隔コントローラーを狙ったセキュリティ事案」（当社訳）という警告を出し、13日に対象の機器を追加しました。対象はDanfossのAK-SMシリーズとAK-SCシリーズ、Copeland xweb、Dixell xwebの4系統です。CERT-FRは「遠隔コントローラーの多数の侵害を把握している」とし、「一般に、管理画面をインターネットに公開することは良い慣行に反する」と書いています（いずれも当社訳。原文は “Le CERT-FR a connaissance de nombreuses compromissions des controleurs à distance” “De manière générale l'exposition d'une interface de gestion sur Internet est contraire aux bonnes pratiques.”）。

CERT-FRが設備の持ち主に求めているのは、インターネットへの公開をやめること、霜取りの予定を含めて設定全体を見直すこと、VPNなど守られた経路だけで接続し直すこと、メーカーの推奨どおりファームウェアを更新し初期パスワードを変えることです。業者向けの通信回線を切る前に保険の契約条件を確かめるよう添えています。また、攻撃は「おそらく今も続いている」（当社訳）とし、更新が止まった機器をインターネットに出したままにすることの危険を指摘しています。

一方で、攻撃者、侵入の方法、動機、影響を受けた機器の台数は公表されていません（2026年10月14日時点）。CERT-FRは2026年1月にも、エネルギーと水の分野で、インターネットに出ていた産業用の管理画面に外から入られた例があったとして、送信元の絞り込み、VPNの利用、初期パスワードの置き換えを求めていました。

日本の指針が示す基本の対策と、冷蔵倉庫・物流で見直すこと

冷凍設備の制御装置のように、ネットにつながる設備の守り方は、日本の公的機関の資料にも書かれています。フランスの警告と重なる点を中心に並べます。

総務省・経済産業省、JPCERT/CC、IPAの資料にある基本の対策

日本で、工場や設備のようにネットにつながる機器（制御システムやIoT機器）の守り方を示した公的な資料のうち、今回の件と関係の深いものは次のとおりです。

出典：総務省「IoTセキュリティガイドラインver1.0」（2016年7月5日公表）、JPCERT/CC「SHODANを悪用した攻撃に備えて －制御システム編－」（2015年6月9日）、同「J-CLICS 攻撃経路対策編」（2023年）、IPA「米CISA発行 Cross-Sector Cybersecurity Performance Goals Ver.2.0 (2025-12)の翻訳」（2026年4月8日）。表の文言は当社が要約したものです。

IoTセキュリティガイドラインは、一般の利用者向けにも「問合せ窓口やサポートがない機器やサービスの購入・利用を控える」「使用しなくなった機器については電源を切る」というルールを示しています。IPAが翻訳した米国の文書は、すべてのハードウェア、ソフトウェア、ファームウェアについて「内部または外部のネットワークに接続する前に、デフォルトのメーカーのパスワードを変更すること」を求めています。

どの資料も、ネットにつなぐ必要があるかを先に考え、つなぐなら入口を絞り、初期の設定のまま使わない、という点で一致しています。フランスでCERT-FRが求めている内容とも重なります（当社の見方）。2026年10月14日時点で、日本の公的機関がこの件について注意喚起を出したことは、当社が確認した範囲では見つかっていません。

冷蔵倉庫・物流の現場で確かめておきたいこと

冷凍・冷蔵の倉庫や配送センターにも、温度を見守る装置や、設備業者が遠隔で保守する仕組みがあります。今回の件と日本の資料をもとに、現場で確かめておきたい点を当社の見方として挙げます。

1つめは、どの冷凍機・温度監視装置が、誰の回線で外とつながっているかを一覧にすることです。IPAが翻訳した米国の文書も、資産の一覧を定期的に更新するよう求めています。2つめは、設備業者との間で、遠隔接続の方法、パスワードの管理、異常があったときの連絡を取り決めることです。同じ文書は、ベンダーとの契約でインシデントの通知の時間を定めることを挙げています。

3つめは、サポートが終わった制御装置が残っていないかを確かめ、更新の計画を立てることです。4つめは、霜取りの時間や温度の上限など、CERT-FRが見直しを求めた設定を、業者と一緒に確かめておくことです（当社の見方）。制御装置とは別に、温度の異常に気づける手段を持っておくと、装置が操作されたときにも早く気づけます（当社の見方）。

日本では2026年7月、冷凍食品と低温物流のニチレイがサイバー攻撃によるシステム障害を公表し、冷蔵倉庫の入出庫と冷凍食品の出荷に影響が出ました。これは情報システムの障害で、今回のような冷凍設備の操作とは別の事案です。ただ、低温の物流がサイバー攻撃で止まりうることは、日本でもすでに起きています。

店の食品と家の冷蔵庫について、消費者が知っておく3つのこと

フランスの各社の説明と、厚生労働省の「家庭でできる食中毒予防の6つのポイント」をもとにまとめました。

よくある質問

今回の攻撃で個人情報は漏れたのですか

AFPは、顧客のデータは盗まれていないとみられると報じています。今回の被害は、冷蔵・冷凍設備の温度が上げられて食品が売り物にならなくなったことと、設備の損傷です。

日本のスーパーでも同じことが起きていますか

2026年10月14日時点で、日本の店舗に影響が出たという報道は、当社が確認した範囲では見つかっていません。日本の公的機関がこの件について注意喚起を出したことも確認できていません。

どのような設備が狙われたのですか

報道では、デンマークのDanfossの冷凍設備の制御装置が狙われたとされています。フランスのCERT-FRは、DanfossのAK-SMシリーズとAK-SCシリーズ、Copeland xweb、Dixell xwebの4系統の遠隔コントローラーを対象に警告を出しています。

誰が、どうやって攻撃したのですか

攻撃者と侵入の方法は公表されていません（2026年10月14日時点）。パリ検察が捜査を始め、フランスのサイバーセキュリティ機関ANSSIも対応しています。CERT-FRは、管理画面をインターネットに公開することは良い慣行に反するとしています。

フランスで温度が上がった食品は売られたのですか

インターマルシェは、対象の店では該当する商品をすべて捨てる必要があったと説明していると報じられています。クーペラティブUは、80店の大半で温度の管理を保てたとしています。

家の冷蔵庫はどのくらいの温度にしておけばよいですか

厚生労働省は、冷蔵庫は10℃以下、冷凍庫は-15℃以下に保つことを目安としています。冷蔵・冷凍の食品は買い物の最後に買い、早めに持ち帰ってすぐにしまいます。

なぜプラスチックパレット株式会社がこの記事を書いているのですか

当社はパレットなどの物流資材を扱う会社で、2026年10月から、身近なサービスで起きた情報セキュリティの出来事について、公表資料で確かめられることを整理する記事を公開しています。今回は、冷蔵倉庫や物流の現場にも関係する件として、フランスの当局の警告と日本の公的機関の資料を分けてまとめました。