欧州で冷凍庫へのサイバー攻撃が相次ぐ｜ネット接続とAI管理は必要か？

スーパーが閉まった深夜、冷凍設備が勝手に霜取りを始める。翌朝、店員が異変に気づいたときには、売り物の冷凍食品がすでに溶けている。欧州で起きたサイバー攻撃では、遠隔操作によって冷蔵・冷凍設備の設定が変えられ、一部の店舗が食品を廃棄することになった。

フランスでは10月11日から12日にかけて、業務用冷蔵・冷凍設備の遠隔制御装置が多数侵害された。11月2日にはベルギー、スウェーデン、アイルランドなどでも被害が報告され、翌3日にはイギリスの国家サイバーセキュリティセンター（NCSC）が、国内の一部事業者にも影響が出たことを明らかにした。数週間で被害が相次いだ一方、欧州全体で攻撃件数が長期的に増えているかや、10月と11月の事件が同じ犯人によるものかは、現時点で確認できていない。

そんなにたくさんの冷凍庫がネットにつながっているのか？

今回、主に狙われたのは、スーパーや食品事業者が使う冷蔵・冷凍設備の管理システムだ。店内の冷凍ケースが一台ずつWi-Fiにつながっている光景を想像すると、実態が分かりにくい。一つの管理装置で複数の冷蔵ケースや冷凍庫を監視し、温度や霜取りの設定をまとめて扱える。外部からその装置に入られると、侵入先が一つでも、影響は複数の設備に及び得る。

セキュリティ企業Censysは、フランスで10月の攻撃前に、デンマークのメーカーDanfossの管理画面「StoreView」が、公開インターネットから到達できる状態で1,825件見つかったとしている。11月2日の分析時点では220件に減った。これは一つの製品系統で観測された管理画面の数だ。冷凍庫の台数や、攻撃を受けた店舗数、家庭用スマート冷凍庫の普及率は、この数字からは分からない。

ネットにつながらない冷凍庫は、そんなに不便なのか？

スーパーには、ネットにつなぐ理由がある。閉店後に冷凍ケースの温度が上がれば、翌朝まで待たずに担当者が気づける。何店舗も担当する保守会社なら、温度の履歴を見て、どの店に技術者を向かわせるべきか判断できる。冷凍食品を別の設備に移す時間を確保できれば、遠隔監視には十分な価値がある。

家庭ではどうか。買ってきた食品を入れて、必要なときに取り出す。普段の使い方なら、庫内のセンサーと本体の制御装置で温度を保てる。ドアの閉め忘れや庫内の温度上昇を、本体の警報で知らせる機種もある。旅行中に異常をスマホで知りたい、普段は入らないガレージに冷凍庫がある、といった家庭なら遠隔通知は便利だろう。毎日キッチンで使う冷凍庫なら、外出先から温度設定を変えたい場面は、どれほどあるだろうか。

業務用でも家庭用でも、温度を外から見ることと、外から設定を書き換えることには、別々の理由が要る。 温度が上がったと知らせるだけなら、通知を受け取る側に霜取りを始める権限まで渡す必要はない。フランスのCERT-FRも、管理画面を公開インターネットから外し、遠隔アクセスが必要な場合は、保護されたネットワークや安全なVPNを経由するよう勧めている。

こんな状態で、AIに冷凍庫の管理を任せられるのか？

「冷凍庫をAIに管理させる」と言っても、何を任せるかで話は変わる。例えば、温度と消費電力の履歴を読み、「最近、閉店後も圧縮機が長く動いている」と担当者に知らせるなら、AIは故障の兆候を探す役に立ち得る。一方、AIが温度や霜取りを自動で変更し、その指示を何店舗にも一斉に送れる設計なら、誤った判断や管理アカウントの侵害が起きたとき、影響もまとめて広がる。

家庭向けにも、使い方に合わせて圧縮機や霜取りの動作を調整するAI省エネ機能がすでにある。ここで気になるのは、AIが何をできるかより、どこまで操作できて、通信が切れたときに何が起きるかだ。冷却は本体だけで続けられるか。外から無理な設定が送られても、本体側で拒否できるか。現場の人が遠隔操作を止めて、本体の操作に戻せるか。食品を預かる設備なら、AIによる省エネ効果を比べる前に、こうした問いに答えが欲しい。

冷凍庫が一番頼りになるのは、誰も気にかけていない間も、黙って食品を凍らせ続けてくれるときだ。AIを載せるなら、その当たり前をどこまで守れるか。アプリで何ができるかより、アプリが使えない夜に冷凍庫がどう動くかのほうが、買う側にも、店を運営する側にも大事ではないだろうか。