欧州スーパー冷蔵設備に再びサイバー攻撃、温度上昇で食品廃棄相次ぐ、手口とメカニズム

2026年10月から11月にかけて欧州で報告されたスーパー冷蔵設備へのサイバー攻撃は、食品小売業のセキュリティ対策に新たな課題を突き付けた。冷蔵設備の制御装置が不正操作されることで、食品の温度管理が損なわれ、店舗の営業や食品の廃棄にまで影響が及ぶことが明らかになった。

現状（2026年11月時点）

2026年11月初旬、欧州各国のスーパーマーケットや食品小売店で、冷蔵・冷凍設備がサイバー攻撃を受け、庫内温度が異常に上昇する事件が相次いだ。ベルギー、スウェーデン、アイルランド、ルクセンブルク、オランダ、エストニア、フィンランドなど複数の国で被害が報告され、食品の廃棄や店舗運営への影響が広がっている。

今回の事件が深刻なのは、攻撃対象が一般的な業務用コンピューターや決済システムではなく、食品の品質と安全性を直接左右する冷蔵・冷凍設備だった点にある。攻撃者は設備の温度管理機能を不正に操作し、本来は食品を一定の低温に維持するための装置を、逆に温度を上昇させる方向へ動作させたとみられる。

この問題は、2026年10月中旬にフランスで発生した大規模攻撃に続くものである。フランスでは複数の大手小売業者の店舗が被害を受け、冷蔵・冷凍設備の停止や異常加熱によって大量の食品が廃棄された。

11月2日には、同様の障害が欧州各国でほぼ同時期に発生した。通信社ロイターやＡＦＰなどの報道によると、100店舗を超える小売店で冷蔵設備への影響が確認されており、攻撃が国境を越えて拡大した可能性が指摘されている。

ただし、10月と11月の事件が同一の攻撃者によって実行されたのか、同じ脆弱性が利用されたのかについては、現時点で確定していない。したがって、両事件を技術的に関連する可能性のある連続事案として捉えつつ、攻撃主体や侵入経路の同一性については慎重な判断が必要である。

欧州では食品小売業のデジタル化が進み、店舗の冷蔵庫、冷凍庫、空調、照明、電力管理などが遠隔監視・制御されるようになっている。こうした利便性の向上が、十分な防御策を講じていない設備では新たな攻撃経路となり、サイバー空間の侵害が現実の食品廃棄につながる構造が明らかになった。

何が起きているのか

今回の事件では、攻撃者がインターネット経由で冷蔵設備の制御装置にアクセスし、温度設定や除霜機能などを不正に操作したとされる。通常、スーパーマーケットの冷蔵・冷凍設備は、商品ごとに適切な温度を維持するため、温度センサーや制御装置、冷却機器を連動させて運転している。

ところが、制御装置が外部から不正に操作されると、冷却能力を維持できなくなり、庫内温度が急上昇する。冷凍食品や肉類、乳製品などは、一定の温度管理ができなくなれば品質や安全性を保証できず、店舗側は販売を停止して商品を撤去せざるを得なくなる。

フランスの10月の事件では、冷凍設備の除霜機能が不正に作動させられ、庫内温度が約50度まで上昇した事例が報告された。さらに、除霜時間を通常の約1時間から約8時間に延長する操作も確認されており、異常を検知して対応するまでの時間を長引かせる仕組みが使われた可能性がある。

11月の事件でも、複数の店舗で冷蔵・冷凍設備の温度が上昇し、一部では約50度に達したとの報告がある。ベルギーでは大手小売業者の店舗が広範囲に影響を受け、スウェーデンでも食品スーパーの冷凍設備が異常加熱した。

このような攻撃は、店舗の販売管理システムや顧客情報を盗み出す従来型のサイバー犯罪とは性質が異なる。情報を窃取することよりも、設備を正常に動作させないことによって物理的な損害を発生させる点に特徴がある。

特に問題なのは、攻撃者が設備を破壊するための高度な破壊プログラムを必ずしも必要としないことである。正規の制御機能を不正に操作するだけで、冷却設備の機能を妨害し、食品の品質を損なわせることができる。

攻撃の手口とメカニズム

今回の攻撃で注目されているのが、デンマークの冷却設備メーカーであるダンフォスの制御ソフトウェアと関連機器である。同社は業務用冷蔵・冷凍設備の温度管理や遠隔監視に関する製品を世界各地に供給しており、欧州の食品小売業界でも広く利用されている。

10月のフランスの事件では、インターネットからアクセス可能な古い制御装置や、セキュリティ上の問題を抱えたソフトウェアが侵入経路になった可能性が報じられた。11月の事件でもダンフォス製品が再び標的になったと同社が説明しているが、同一の脆弱性が利用されたかどうかは確認されていない。

攻撃の基本的な仕組みは、遠隔制御機能への不正アクセスから始まる。冷蔵設備の制御装置は、保守担当者が店舗に出向かなくても温度や運転状況を確認できるよう、外部ネットワークから接続できる構成になっている場合がある。

本来、この機能は設備の効率的な管理や故障の早期発見を目的としている。しかし、認証設定が不十分だったり、古いソフトウェアが更新されないままインターネットに接続されていたりすると、第三者が制御画面に侵入する危険性が高まる。

侵入後、攻撃者は冷却装置の設定値を変更したり、除霜機能を通常とは異なる条件で作動させたりする。除霜とは、冷却器に付着した霜を取り除き、冷却能力を維持するための正常な保守機能だが、これを長時間作動させれば、冷却が十分に行われず庫内温度が上昇する。

さらに、除霜の時間設定や温度警報の設定まで変更されれば、異常を発見するまでの時間が延びる可能性がある。10月のフランスの事件では、実際に除霜時間が延長され、店舗側の対応が遅れた事例が報告されている。

今回の攻撃が成立する基本的な流れ

この攻撃の特徴は、冷却設備の制御機能そのものが攻撃の道具に転用されていることだ。通常の操作として設計された機能が、権限を持たない第三者によって実行されることで、設備の安全性が損なわれる。

また、今回の事件では、設備の制御装置をインターネット上から探索できる検索サービスなどを利用し、外部に露出した機器を発見した可能性も指摘されている。ただし、個々の攻撃者がどのような探索方法を用いたのかについては、捜査による確定を待つ必要がある。

もう1つの重要な論点は、冷蔵設備が店舗の一般的な情報システムとは異なる管理体系に置かれている場合があることだ。設備の設置や保守を外部の専門業者に委託している店舗では、店舗運営会社が制御装置のソフトウェアの更新状況やネットワーク接続の安全性を十分に把握できていない可能性がある。

つまり、今回の攻撃は単に古い機器が狙われたという問題にとどまらない。遠隔保守の利便性を優先して構築された設備管理の仕組みと、サイバーセキュリティ対策の間に存在する管理上の空白が、被害を拡大させた可能性がある。

今回の攻撃は、食品小売業の冷蔵・冷凍設備に備わる遠隔制御機能を悪用し、温度管理という物理的な機能をサイバー空間から妨害した事件である。特に、古い制御装置の更新不足、外部ネットワークへの接続、保守管理の分散という3つの問題が、被害拡大の背景にある。

被害の実態

今回のサイバー攻撃による被害は、冷蔵・冷凍設備の異常だけにとどまらない。食品の廃棄、店舗の営業停止、設備の修理、商品の再調達、物流の調整など、スーパーマーケットの事業活動全体に影響が及んでいる。

特に深刻なのは、冷蔵・冷凍設備の温度が一定時間にわたって上昇すると、食品の安全性を事後的に確認することが難しくなる点だ。外見や臭いに異常がなくても、細菌の増殖などによって食品の安全性が損なわれている可能性があるため、店舗側は販売継続よりも廃棄を優先せざるを得ない。

対象となる食品は、牛肉、豚肉、鶏肉、魚介類、乳製品、加工食品、冷凍食品など広範囲にわたる。冷蔵ケースや冷凍庫だけでなく、バックヤードの保管庫まで温度管理が影響を受ければ、販売前の商品在庫も廃棄対象になる。

フランスの被害店舗では、冷蔵設備の温度が50度に達した事例が報告された。さらに、一部店舗では設備内部の温度上昇によって散水設備が作動し、保管場所が水浸しになるなど、食品以外にも物理的な損害が発生した。

フランス南西部ジロンド県のグラディニャンにあるインターマルシェでは、冷蔵保管庫が約50度まで上昇し、散水設備が作動した。店舗経営者は、仕入れ価格で約21,000ユーロに相当する損失が発生したと説明している。

同国では、複数の小売企業の店舗が影響を受けた。報道によると、インターマルシェ系統で約300店舗、協同組合ユ系統で約100店舗、カルフール系統で約80店舗などが被害対象に含まれたとされる。ただし、これらは各企業の被害申告や報道時点の集計であり、すべての店舗で同程度の食品廃棄が発生したわけではない。

協同組合ユの経営者は、約80店舗が影響を受けた一方、大多数では従業員や冷蔵設備の専門業者による対応によって食品の低温管理が維持され、廃棄を回避できたと説明している。この事実は、攻撃を受けた店舗数と実際に食品を失った店舗数を区別する必要性を示している。

一方、フランスの被害店舗の中には、食品の廃棄だけで数万ユーロ規模の損失を計上したところもある。ある店舗では約90,000ユーロの損失が報じられており、設備の修理費用や営業上の損失を含めれば、被害総額はさらに膨らむ可能性がある。

食品廃棄に伴う経済的損失は、店舗だけに限定されない。廃棄された商品の補充には、食品メーカー、卸売業者、物流会社、中央仕入れ部門などが対応する必要があり、通常の配送計画や在庫管理にも追加負担が生じる。

また、被害を受けた店舗では、設備をネットワークから切り離して安全性を確認する必要があるため、復旧後も直ちに通常営業へ戻れるとは限らない。冷蔵設備の再設定、温度の安定確認、商品補充、衛生管理などを順番に進めなければならず、営業再開には一定の時間を要する。

11月初旬の第2波でも、同様の被害が確認された。ベルギーの精肉店では、冷蔵設備の温度が18度まで上昇し、約15,000ユーロ相当の肉類が損失になったと経営者が説明している。

このように、被害は大規模チェーンだけでなく、地域の小規模店舗にも及んでいる。大手企業は専門技術者や予備設備を確保しやすい一方、小規模店舗では復旧費用や商品廃棄の負担が経営を直接圧迫するため、同じ攻撃でも経済的な影響は大きく異なる。

発生の経緯（波状的な拡大）

今回の事件は、単独の店舗で発生した設備障害ではなく、複数の国や企業にまたがって発生した点に特徴がある。2026年10月中旬のフランスでの攻撃を第1波、11月初旬の欧州各国での攻撃を第2波として整理すると、被害の広がりと対策の遅れが見えてくる。

第1波では、フランス国内の複数の小売企業が利用する冷蔵設備がほぼ同時期に被害を受けた。第2波では、ベルギー、スウェーデン、アイルランドなどに対象地域が広がり、同種の温度異常が再び発生した。

両者に共通するのは、冷蔵・冷凍設備の遠隔管理機能が攻撃対象になったことである。特に、設備の制御装置や管理用ソフトウェアが外部ネットワークに接続されている場合、店舗の所在地とは関係なく遠隔から操作される危険性がある。

ただし、現段階では第1波と第2波が同じ攻撃者による計画的な作戦だったと断定できない。攻撃手法や対象設備の類似性は重要な手掛かりだが、実行者、侵入経路、利用された認証情報、攻撃指令の発信元などを確認しなければ、両事件の直接的な関係は確定できない。

第1波（2026年10月中旬）

最初の大規模な被害は、2026年10月11日から12日にかけてフランスで発生した。夜間に複数のスーパーマーケットの冷蔵・冷凍設備が不正操作され、翌朝、従業員や配送担当者が設備の異常に気付いたことで被害が明らかになった。

フランスの報道機関「ル・モンド」によると、攻撃は11日夜から12日未明にかけて実行されたとみられ、複数の小売企業で冷蔵設備の温度設定が変更された。店舗によっては、従業員が異常を発見した時点ですでに保管庫の温度が大幅に上昇していた。

被害の中心となったのは、インターマルシェ、協同組合ユ、カルフール、ルクレール、モノプリなどの小売企業である。これらの企業は店舗数や経営形態が異なるものの、共通して冷蔵・冷凍設備を遠隔管理する仕組みを利用していた。

この事件では、デンマークのダンフォスが供給する冷蔵設備管理用の制御装置が問題の中心として浮上した。同社によれば、被害を受けた機器の多くは旧式で、製品のサポート期間が終了し、ソフトウェアや安全上の更新を受けられない状態だった。

さらに重要なのは、今回利用された可能性のある脆弱性が、事件発生前から認識されていた点である。ダンフォスは2025年3月と8月に一部ソフトウェアの安全上の欠陥について注意喚起を行い、修正プログラムの適用を推奨していた。

つまり、第1波は未知の技術を突然開発した高度な攻撃だけで説明できるものではない。既知の問題が存在する制御装置を、更新や適切なネットワーク管理を行わないまま運用していたことが、被害を招いた重要な背景と考えられる。

フランスでは、パリ検察当局が捜査を開始し、国家情報システム安全庁も調査に関与した。捜査では被害店舗の特定や、侵入経路、食品廃棄との因果関係などが調べられたが、攻撃者を特定する情報は公表されなかった。

この第1波で特に問題となったのは、被害が判明した後も、同種の設備がほかの国や店舗で稼働していたことである。古い制御装置や外部から接続可能な設備が残っていれば、攻撃者が同じ手法を再び利用する余地があった。

フランスの事件を受けて、一部の小売企業や設備管理業者は、問題のある冷蔵設備をネットワークから切り離すなどの緊急措置を進めた。しかし、欧州全域で使用されている設備を短期間ですべて調査し、安全な状態に変更することは容易ではなかった。

第2波（2026年11月初旬）

第2波は11月2日、欧州の複数国で確認された。ベルギー、エストニア、フィンランド、アイルランド、ルクセンブルク、オランダ、スウェーデンなどで、スーパーマーケットや食品小売店の冷蔵・冷凍設備に異常が発生した。

ロイターの報道によれば、100店舗を超える小売店で設備の温度が上昇し、一部の企業はサイバー攻撃による被害と説明した。フランスの事件から約3週間後に同種の障害が発生したことで、欧州の小売業界では警戒が一段と強まった。

ベルギーでは、デルヘイズ、コルリュイト、カルフールなどの店舗で冷蔵設備の障害が報告された。カルフールは国内約700店舗のうち約15店舗で影響があったと説明し、コルリュイトも複数店舗の冷蔵設備が攻撃を受けたことを明らかにした。

デルヘイズでは、ベルギーとルクセンブルクの数十店舗で冷蔵・冷凍設備に問題が発生した。店舗によっては冷蔵棚から商品が撤去され、配送センターや通常の物流に影響がなかったにもかかわらず、販売できる生鮮食品や冷凍食品が一時的に減少した。

スウェーデンでは、食品スーパーの協同組合系店舗6～7店舗で冷却設備への影響が報告された。さらに、イカでも一部店舗の冷蔵・冷凍設備に異常が確認され、同社が利用する外部の冷蔵設備管理システムとの関係が調査対象となった。

アイルランドでは、食品小売企業マスグレイブが運営するスーパーバリューの13店舗で冷蔵設備に影響が発生した。対象商品は販売から撤去され、設備の復旧後に商品の補充が進められた。

エストニアでは、冷蔵設備を管理するコンピューターに攻撃者がアクセスし、温度設定を50度に変更した事例が報告された。ただし、現地の冷蔵設備業者が数分以内に対応したため、重大な食品廃棄には至らなかったとされる。

この事例は、攻撃が成功したかどうかだけでなく、異常を検知してから対応するまでの時間が被害規模を左右することを示している。同じような制御装置が攻撃されても、監視体制や現場の対応能力によって、食品の損失を回避できる場合がある。

また、ベルギーの家具小売企業イケアのモンス店舗でも冷凍設備の温度上昇が発生した。食品の撤去など予防措置が取られ、スーパーマーケット以外の小売施設にも影響が及んでいることが明らかになった。

第2波で注目されたのは、冷蔵設備の保守を担当する専門業者が、10月のフランスの事件を受けて対策を進めていたにもかかわらず、被害を完全には防げなかった点である。ベルギーの設備管理会社サブコベルは、フランスの事件後に設備の安全確保を進めていたが、未対応の設備が一部残っていたと説明している。

さらに、スウェーデンでは携帯電話網を通じて接続されていた冷蔵設備が攻撃対象になった可能性も報じられた。これは、店舗内の有線ネットワークだけでなく、携帯電話網などを利用した遠隔接続も管理対象に含めなければならないことを意味する。

第2波の発生後、欧州のサイバーセキュリティ関係者は、インターネットから接続可能な制御装置が多数残されていることに警鐘を鳴らした。攻撃者にとっては、設備を破壊する複雑な手段を用いなくても、遠隔管理機能を不正操作するだけで大きな経済的損害を発生させられるためである。

一方、今回の攻撃について犯行声明は確認されていない。金銭の支払いを要求する典型的な恐喝型攻撃とは異なり、食品廃棄や営業妨害そのものが目的だった可能性も専門家から指摘されているが、政治的動機や国家の関与を裏付ける証拠は公表されていない。

第1波と第2波を比較すると、攻撃対象がフランス国内の複数企業から欧州各国の小売業者へ広がったことが分かる。これは欧州の食品流通が共通する設備メーカーや遠隔管理技術に依存していること、そして一国で発生したサイバーインシデントが国境を越えた供給網の問題へ発展し得ることを示している。

今回の被害を分析するうえで、特に重要なのは次の4点である。

• 店舗数と廃棄被害の区別： 攻撃を受けた店舗すべてで食品が廃棄されたわけではない。早期対応によって損失を回避した店舗も存在する。

• 既知の脆弱性の放置： 2025年に注意喚起されていた制御装置の問題が、2026年の被害につながった可能性が高い。

• 国境を越えた共通リスク： 複数国の小売業者が共通の設備メーカーや遠隔管理技術に依存している。

• 攻撃者の未特定： 2つの事件の類似性は高いが、同一犯や国家関与を裏付ける証拠はまだない。

浮き彫りになった課題

今回の欧州スーパー冷蔵設備へのサイバー攻撃は、食品小売業の情報セキュリティ対策が、店舗の販売管理や顧客情報の保護に偏り、設備そのものを制御するシステムへの対応が不十分だったことを浮き彫りにした。従来、冷蔵庫や冷凍庫は食品を保存するための物理的な設備として扱われてきたが、遠隔監視や自動制御の普及によって、サイバー攻撃の対象となる情報通信機器へと変化している。

問題の本質は、冷蔵設備がインターネットに接続されていること自体ではない。外部から操作できる設備について、誰がアクセス権限を持ち、どのような通信が許可され、異常な操作をどのように検知するのかという基本的な管理が徹底されていなかった点にある。

今回の事件では、既知の脆弱性を抱えた旧式の制御装置や、更新が十分に行われていない設備が攻撃対象になったと報告されている。つまり、最先端の攻撃技術によって最新の防御システムが突破されたというよりも、長年放置されてきた設備管理上の問題が現実の損害につながった側面が強い。

さらに、冷蔵設備の管理をメーカーや外部業者に委託している場合、店舗運営会社が自社設備のセキュリティ状態を完全に把握できないという問題もある。設備の所有者、運用者、保守業者、制御ソフトウェアの開発者が異なることで、障害発生時の責任や対応範囲が不明確になりやすい。

このような構造は、スーパーマーケットだけでなく、食品工場、物流センター、冷凍倉庫、医薬品保管施設などにも共通する。温度管理が事業の継続や製品の安全性に直結する施設では、サイバーセキュリティを単なる情報管理の問題として扱うことはできない。

ＩｏＴ・ＯＴ（制御技術）セキュリティの脆弱性

今回の事件を理解するうえで重要なのが、ＩｏＴとＯＴという2つの技術領域である。ＩｏＴは、冷蔵庫や温度センサー、監視カメラ、空調設備など、さまざまな機器を通信ネットワークに接続し、情報を収集・共有する仕組みを指す。

一方、ＯＴは、機械設備や産業設備を監視・制御する技術である。冷蔵設備の場合、温度センサーから取得した情報を基に、制御装置が圧縮機や冷却ファン、除霜装置などの動作を調整する仕組みがＯＴに該当する。

両者の違いは、ＩｏＴが機器同士の接続やデータの収集・交換に重点を置くのに対し、ＯＴは実際の設備を動かし、物理的な状態を変化させることに重点を置く点にある。今回の攻撃は、ＩｏＴによって外部ネットワークと接続されたＯＴ設備が不正操作され、現実の温度上昇を引き起こした事例と位置付けられる。

ＩｏＴとＯＴの関係

従来の情報システムでは、機密情報の漏えいやデータの改ざん、業務システムの停止などが主要なリスクとされてきた。しかし、ＯＴでは、設備の稼働や物理的な安全性が最優先されるため、攻撃による影響の性質が異なる。

例えば、一般的な業務用コンピューターが攻撃を受けた場合、データの復旧や代替機への切り替えによって業務を再開できることがある。一方、冷蔵設備が不正操作されて食品が一定時間以上高温にさらされた場合、システムを復旧しても食品の品質や安全性は元に戻らない。

この点は、ＯＴセキュリティにおける重要な特徴である。サイバー攻撃を受けた際の損失が、情報の復旧費用だけでなく、食品や設備そのものの不可逆的な損害にまで及ぶからだ。

今回の事件では、特に次のような脆弱性が問題となった。

第1に、インターネットへの直接接続である。 本来、冷蔵設備の制御装置は、店舗内部の限定されたネットワークや安全な遠隔接続経路を通じて管理することが望ましい。しかし、外部から直接アクセスできる状態で運用されていれば、攻撃者にとって侵入対象を発見しやすくなる。

第2に、旧式機器と更新不足である。 ダンフォスの旧世代の制御装置には、製品のサポート期間が終了し、セキュリティ更新を受けられないものが含まれていた。こうした機器は、既知の脆弱性が発見されても修正されないまま使われ続ける危険性がある。

第3に、認証とアクセス権限の管理不足である。 遠隔管理用の利用者名やパスワードが適切に管理されていなかったり、複数の担当者が同じ認証情報を共有していたりすると、不正アクセスの原因になる。アクセス権限が過剰であれば、侵入者が温度設定や設備の動作条件まで変更できる可能性がある。

第4に、異常操作を検知する仕組みの不足である。 温度設定が通常の範囲から大きく外れたり、除霜機能が長時間作動したりした場合には、直ちに警報を発する仕組みが必要だ。しかし、警報設定そのものが変更されると、異常を把握するまでの時間が長くなるおそれがある。

第5に、ネットワークの分離不足である。 店舗の事務用ネットワーク、決済システム、監視カメラ、冷蔵設備などが十分に分離されていなければ、1つの機器への侵入が別のシステムへ広がる危険性がある。設備ごとに通信範囲とアクセス権限を限定することが不可欠だ。

こうした問題は、冷蔵設備だけに存在するものではない。工場の生産設備、ビルの空調や電力管理、上下水道、交通システムなど、遠隔監視と自動制御を利用するＯＴ設備全般に共通する課題である。

米国のサイバーセキュリティ・社会基盤安全保障庁は、産業制御システムについて、外部ネットワークとの接続制限、アクセス制御、脆弱性管理、異常通信の監視などを重要な対策として示している。また、国際標準化機構と国際電気標準会議による「ＩＥＣ６２４４３」シリーズも、産業用制御システムのセキュリティ管理に関する重要な国際標準となっている。

今回の事件は、これらの対策が大規模工場や重要インフラだけでなく、一般のスーパーマーケットにも必要であることを示した。冷蔵設備がネットワークに接続されている以上、その安全性は店舗の情報システムと同様に継続的な管理の対象としなければならない。

サプライチェーンおよび「食料安全保障」への脅威

今回の事件を単なる小売業界のサイバー犯罪として扱うことには限界がある。スーパーマーケットは、食品メーカー、農業生産者、卸売業者、物流会社、冷蔵倉庫などを結ぶ食品サプライチェーンの最終段階に位置しており、その機能が停止すれば、上流から下流まで影響が広がる可能性がある。

食品サプライチェーンでは、生産、加工、保管、輸送、販売の各段階で温度管理が必要になる。特に肉類、魚介類、乳製品、冷凍食品などは、低温状態を維持できなければ品質が損なわれるため、冷蔵・冷凍設備は食品流通を支える重要な基盤である。

今回のように店舗の冷蔵設備が攻撃を受ければ、配送センターや物流網が正常に動いていても、最終的な販売段階で商品を受け入れられなくなる。食品の供給能力が失われるわけではなくても、販売可能な状態で消費者に届ける機能が損なわれることになる。

さらに、複数の店舗が同じ設備メーカーや遠隔管理システムを利用している場合、1つの脆弱性が広範囲の店舗に共通するリスクとなる。店舗ごとに独立した障害ではなく、共通する技術基盤を通じて同時多発的な被害が発生する可能性がある。

この問題は、食料安全保障の観点からも重要である。食料安全保障とは、すべての人が必要な食料を安定的に入手でき、十分な量と品質の食品を継続的に確保できる状態を意味する。

従来、欧州の食料安全保障政策では、気候変動、干ばつ、洪水、戦争、エネルギー価格の高騰、肥料不足、物流の混乱などが主要なリスクとして扱われてきた。しかし、今回の事件は、食品を保存・流通させるデジタル設備そのものが、新たな供給リスクになり得ることを示した。

特に欧州では、国境を越えた食品流通が発達している。ある国の店舗で冷蔵設備が攻撃されても、食品の調達先や物流拠点が複数国にまたがっていれば、商品の補充や在庫調整に国際的な対応が必要になる。

一方、今回の攻撃によって欧州全体の食料供給が直ちに危機に陥ったと評価するのは適切ではない。被害の中心は個別店舗や一部の設備であり、物流センターや配送網が正常に稼働していた事例も確認されている。

それでも、同じような攻撃が大規模物流センターや食品加工工場、港湾の冷蔵施設に及べば、影響は大きく変わる。大量の食品を一括して保管する施設が停止すれば、店舗単位の被害とは比較にならない規模で供給の遅延や廃棄が発生する可能性がある。

また、医薬品やワクチンなど、厳密な温度管理が必要な製品にも同様のリスクが存在する。冷蔵・冷凍設備への攻撃は、食品小売業だけでなく、医療や公衆衛生に関わる供給網にも応用可能な攻撃手法であることを認識する必要がある。

欧州委員会が食料安全保障の観点から今回の事件に関心を示したのも、こうした背景がある。食品供給の安定性を確保するには、生産量や輸入先の分散だけでなく、食品を安全に保存・輸送・販売するデジタル基盤の強靱化が必要になっている。

サプライヤー・委託先を狙う「サプライチェーン攻撃」の盲点

今回の事件で見逃せないのが、スーパーマーケット自身の情報システムだけを防御しても、被害を防ぎきれないという問題である。冷蔵設備はメーカー、ソフトウェア開発会社、保守業者、通信事業者など複数の企業によって構成・管理されており、そのいずれかにセキュリティ上の問題があれば、店舗側にも危険が及ぶ。

このように、標的企業に直接侵入するのではなく、取引先や委託先、ソフトウェア供給元などを経由して攻撃する手法をサプライチェーン攻撃という。大企業の防御が強化される一方で、比較的セキュリティ対策が弱い関連企業を侵入口として利用する攻撃が増えており、企業間の信頼関係そのものが悪用される構造になっている。

今回の冷蔵設備の問題では、設備メーカーが供給する制御装置や管理ソフトウェア、保守業者が使用する遠隔接続環境が重要な論点となった。店舗側が自社のネットワークを適切に保護していても、外部業者が管理する制御装置に脆弱性が残っていれば、その部分を経由して設備を操作される危険性がある。

特に問題なのは、保守業者が複数の店舗の設備を一括管理している場合である。1つの遠隔管理システムに不正アクセスされると、同じ業者が管理する複数の店舗に影響が及ぶ可能性がある。

これは、攻撃対象が1店舗から数十店舗、さらには複数企業へと拡大する経路になり得る。個別の店舗がそれぞれ対策を講じていても、共通する保守システムや管理用の接続経路が侵害されれば、防御が無効化されるおそれがある。

また、設備メーカーが製品の安全上の問題を公表していても、すべての利用者がその情報を把握しているとは限らない。メーカーから販売代理店、保守業者、店舗運営会社へ情報が伝達される過程で、更新の必要性や対応期限が十分に共有されないことも考えられる。

さらに、旧式機器の使用継続という問題もある。食品小売業では、冷蔵・冷凍設備を更新するには相応の費用が必要であり、正常に稼働している設備をセキュリティ上の理由だけで交換する判断は容易ではない。

しかし、メーカーのサポート期間が終了した機器は、脆弱性が発見されても修正されない可能性がある。設備が物理的に動いていることと、サイバー攻撃に対して安全であることは別問題であり、保守費用の節約が将来の大きな損失につながる危険性がある。

この問題を解決するには、店舗運営会社が自社設備だけでなく、設備メーカーや保守業者を含めたセキュリティ管理を実施する必要がある。具体的には、使用機器の一覧、ソフトウェアの版、サポート期限、遠隔接続先、管理権限、脆弱性への対応状況などを把握し、定期的に確認する仕組みが求められる。

また、委託契約にもサイバーセキュリティ上の責任を明確に盛り込むべきである。保守業者に対して認証の強化、通信の暗号化、操作記録の保存、異常発生時の報告義務、脆弱性修正への対応期限などを求めることで、企業間の管理上の空白を縮小できる。

特に重要なのは、外部業者に与えるアクセス権限を必要最小限にすることである。設備の状態を確認するだけの担当者が、温度設定や除霜機能を自由に変更できる必要はない。監視権限と制御権限を分け、重要な設定変更には追加認証や承認手続きを設けることが望ましい。

今回の事件は、企業のセキュリティ対策が自社の内部だけで完結する時代ではなくなったことを示している。食品流通のように多数の企業が相互に依存する産業では、取引先や委託先を含む全体の安全性を確保することが、事業継続と食料供給の安定に直結する。

今回の事件から浮かび上がった構造的な問題は、次の5点に整理できる。

特に重要なのは、今回の攻撃が食品流通のデジタル化に伴う新しいリスクを示した点である。食品の安定供給を確保するためには、農業生産や輸入先の分散だけでなく、冷蔵・冷凍設備、物流管理、遠隔監視システムなどのサイバー防御も必要になる。

また、攻撃者が必ずしも高度な技術を必要としない点にも注意が必要だ。インターネット上に露出した制御装置や更新されていない機器が残っていれば、比較的単純な操作でも大きな損害を発生させられる。

今後の展望と対策

今回の欧州スーパー冷蔵設備へのサイバー攻撃は、冷蔵・冷凍設備を含む店舗の制御システムを、情報システムと同じ水準で管理する必要性を明らかにした。被害を受けた設備を復旧させるだけでは十分ではなく、攻撃者が侵入できた経路を特定し、同じ構成を持つ他店舗や関連施設で再発を防ぐことが重要になる。

対策の基本は、攻撃を受ける可能性を前提に、侵入を防ぐ仕組み、異常を検知する仕組み、被害を局所化する仕組み、そして安全に事業を再開する仕組みを組み合わせることだ。冷蔵設備は食品の品質と安全性に直結するため、単にシステムを復旧させるのではなく、温度履歴や食品の状態を確認し、販売再開の可否を判断する手順まで整備しなければならない。

今後の対策は、店舗単位の応急措置にとどめず、設備メーカー、保守業者、食品小売企業、物流事業者、行政機関が連携する形で進める必要がある。

緊急的なセキュリティ監査と「デジタルの孤立化（セグメンテーション）」の徹底

最初に必要なのは、被害を受けた企業だけでなく、同じ設備や管理システムを利用するすべての店舗で緊急監査を実施することだ。監査では、冷蔵・冷凍設備の制御装置、温度センサー、遠隔監視端末、通信機器、管理用サーバーなどを洗い出し、どの機器が外部ネットワークと接続されているかを確認する。

特に、インターネットから直接アクセスできる制御装置が残っていないか、初期設定のままのパスワードが使われていないか、メーカーのサポートが終了した機器が稼働していないかを調べる必要がある。使用機器の一覧を作成し、ソフトウェアの版、更新履歴、保守期限、管理者、遠隔接続先を記録することが出発点となる。

次に重要なのが、ネットワークのセグメンテーション、すなわちネットワークを機能ごとに分離する対策である。店舗の事務用コンピューター、決済端末、監視カメラ、冷蔵設備の制御装置を同じネットワークに接続するのではなく、それぞれの通信範囲を限定する。

例えば、冷蔵設備の制御ネットワークと店舗の事務用ネットワークを分離し、両者の間に通信を制御する仕組みを設ける。保守業者が遠隔操作する場合も、専用の接続経路を通じて認証を行い、許可された機器と操作だけを認めるようにする。

さらに、冷蔵設備の制御ネットワーク内部でも、すべての機器が自由に通信できる構成を避けるべきだ。温度センサー、制御装置、監視端末などの役割に応じて通信を制限し、1つの機器が侵害されても他の設備へ影響が広がらない構成を目指す。

遠隔保守の接続口は、常時開放するのではなく、必要なときだけ有効にする方式が望ましい。接続時には多要素認証を導入し、担当者、接続時間、操作内容を記録する。重要な温度設定や制御モードの変更については、操作権限を限定し、必要に応じて別の担当者による承認を求める仕組みも有効だ。

ただし、ネットワークを分離すれば、それだけで安全になるわけではない。保守業者が使用する端末や管理用サーバーが侵害されていれば、許可された接続経路を通じて攻撃が持ち込まれる可能性がある。通信の監視、認証情報の管理、脆弱性の修正、操作記録の確認を組み合わせなければならない。

また、冷蔵設備では、セキュリティ対策が設備の安定稼働を妨げないようにする必要がある。制御装置への更新プログラム適用やネットワーク構成の変更は、設備メーカーや保守業者と協議し、食品の保管に影響しない時間帯と手順で実施することが重要だ。

英国の国家サイバーセキュリティセンターは、ＯＴ環境においてネットワークを機能別に分離し、外部と接続する領域を制御することを推奨している。米国のＣＩＳＡなどが2026年に公表したＯＴ向けのゼロトラスト指針でも、資産の把握、アクセス権限の厳格化、ネットワーク分離、供給網のリスク管理が重視されている。

物理セキュリティとサイバーセキュリティの融合（ＣＰＳセキュリティ）

今回の事件が示したもう1つの教訓は、サイバー攻撃への防御を情報システムの内部だけで完結させてはならないということだ。冷蔵設備の制御装置が不正操作されれば、温度が上昇し、食品が損傷する。つまり、デジタル上の侵害が物理的な被害へ直結する。

このように、情報システムと物理的な設備が密接に結び付いた仕組みは、サイバー・フィジカル・システム（ＣＰＳ）と呼ばれる。冷蔵設備だけでなく、工場の生産ライン、ビルの空調、電力網、上下水道、交通システムなどもＣＰＳの一例である。

ＣＰＳの防御では、ネットワークへの侵入を防ぐだけでなく、設備が異常な動作をした場合に物理的な被害を抑える仕組みが必要になる。例えば、冷蔵庫の設定温度が通常の範囲から大きく外れた場合、管理システムとは独立した警報装置が異常を知らせる構成が考えられる。

さらに、制御装置の設定が不正に変更されても、一定の温度範囲を超える操作を制限する仕組みや、現場の担当者が手動で安全な運転状態に戻せる手段を用意することが望ましい。遠隔操作が不能になった場合でも、現場で温度を確認し、設備を安全に運転できるようにしておく必要がある。

ただし、独立した警報装置や手動操作機能も、設計や保守が不十分であれば機能しない。警報装置の電源や通信経路を制御システムと共有していれば、同時に影響を受ける可能性があるため、重要な機能は可能な範囲で独立性を確保するべきだ。

また、温度の異常を検知した後の対応手順も明確にしておかなければならない。担当者が異常に気付いた時点で、誰に連絡し、どの設備を停止し、どの食品を隔離し、どのような基準で販売再開を判断するのかを事前に定める必要がある。

食品の安全性については、設備の復旧だけで判断してはならない。温度の上昇幅、継続時間、食品の種類、保管状況などを確認し、食品安全の専門担当者が販売や廃棄を判断する体制が必要になる。

サイバーセキュリティ担当者と設備管理担当者、食品安全担当者が別々に対応するのではなく、共通の危機管理計画に基づいて連携することが重要だ。サイバー攻撃を受けた場合の事業継続計画には、情報システムの復旧だけでなく、食品の保護と店舗運営の継続も含める必要がある。

法規制の強化（欧州サイバーレジリエンス法など）

欧州では、企業や製品のサイバーセキュリティを強化するための法制度が整備されつつある。今回の事件に関連する重要な制度が、欧州連合のサイバーレジリエンス法とＮＩＳ２指令である。

サイバーレジリエンス法は、インターネットに接続する機器やソフトウェアなど、デジタル要素を持つ製品の安全性を製造段階から高めるための制度である。製造業者に対し、製品の設計、開発、製造、販売後の保守や脆弱性対応まで、製品のライフサイクル全体を通じたセキュリティ管理を求める。

この法律は2024年12月に発効したが、すべての義務が同時に適用されるわけではない。2026年9月11日から、製造業者には悪用が確認された脆弱性や製品のセキュリティに重大な影響を与える事案の報告義務が適用され、原則として認知から24時間以内の初期警告、72時間以内の詳細報告などが求められる。

一方、製品に関する主要なサイバーセキュリティ要件は、2027年12月11日から適用される予定である。したがって、2026年11月時点では報告義務が先行して適用されている段階であり、主要な製品要件の全面適用はまだ先となる。

この制度が冷蔵設備に与える影響は小さくない。ネットワークに接続される制御装置や管理用ソフトウェアが対象となる場合、製造業者は脆弱性への対応やセキュリティ更新の提供、製品の安全性に関する情報開示を求められることになる。

ただし、サイバーレジリエンス法は製品を市場に供給する側の義務を定める制度であり、スーパーが使用するすべての既存設備を直ちに交換させる法律ではない。サポート終了機器をどう扱うか、更新できない設備にどのような代替策を講じるかは、利用企業側のリスク管理にも関わる。

もう1つの重要な制度が、ＮＩＳ２指令である。これは、欧州の重要な産業や社会基盤を対象に、サイバーセキュリティ対策、経営層の責任、事故報告、供給網のリスク管理などを強化する制度だ。

ＮＩＳ２では、食品の生産、加工、流通も対象分野に含まれる。ただし、食品に関係するすべての企業や小売店舗が一律に対象となるわけではなく、事業の種類、規模、各国の国内法への移行状況などによって適用範囲が決まる。

ＮＩＳ２の加盟国による国内法への移行期限は2024年10月17日だったが、期限までに完全な移行を通知できなかった国が複数存在し、欧州委員会は2025年5月、19か国に対して理由を付した意見書を送付した。2026年時点でも、加盟国間で制度の実施状況に差が残ることが課題となっている。

このような制度の整備は、企業にセキュリティ対策を促す効果がある一方、法令を守るだけで攻撃を防げるわけではない。設備の更新やネットワーク分離、遠隔接続の管理、訓練の実施などを継続しなければ、規制への形式的な対応に終わる危険性がある。

特に、複数の国で店舗を展開する小売企業や、国境を越えて設備を供給するメーカーにとっては、各国の国内法や報告手続きの違いを把握することも重要になる。欧州全体で制度の整合性を高め、脆弱性情報や攻撃情報を迅速に共有する体制が求められる。

今後の展望

今後、欧州の食品小売業界では、冷蔵・冷凍設備を含む店舗インフラのサイバーセキュリティ対策が、設備投資や保守契約を判断する際の重要な要素になると考えられる。従来のように、故障せずに稼働することだけを基準に設備を評価するのではなく、更新可能性、遠隔接続の安全性、異常検知能力、メーカーのサポート体制なども評価対象になる。

一方、既存設備を一斉に交換することは現実的ではない。店舗数が多い大手小売企業ほど、設備の更新には巨額の費用と長い期間が必要になるため、リスクの高い機器から優先順位を付けて対策を進める必要がある。

当面は、外部から直接アクセスできる機器の解消、サポート終了製品の特定、遠隔接続の制限、ネットワーク分離、独立した温度警報の設置などが優先されるだろう。中長期的には、セキュリティ更新を継続できる設備への移行や、製品の設計段階から安全性を組み込む仕組みが重要になる。

また、攻撃を受けた企業が被害情報を隠すのではなく、行政機関や業界団体、他の小売企業と共有することも必要だ。攻撃の手口、侵入経路、被害を抑えた対応策が共有されれば、同じ脆弱性を持つ設備への対策を早めることができる。

今回の2度の攻撃については、同一の攻撃者によるものか、同じ脆弱性や攻撃基盤が使われたのか、現時点で確定していない。したがって、特定の組織や国家による計画的な攻撃と断定することはできないが、冷蔵設備のような身近な制御システムが広域被害を引き起こす標的になり得ることは明らかになった。

今後の焦点は、被害を受けた企業がどこまで設備管理を見直すか、メーカーが旧式製品への対応をどう改善するか、そして欧州の規制が現場の実効的な対策につながるかである。サイバー攻撃を完全に防ぐことは難しいが、侵入されても食品の廃棄や店舗の停止を最小限に抑える仕組みは構築できる。

事件の総括――冷蔵設備がサイバー攻撃の標的になった意味

2026年10月中旬、フランスのスーパーマーケットで冷蔵・冷凍設備が不正操作され、食品の保管温度が上昇する事件が発生した。11月初旬には、ベルギー、オランダ、スウェーデン、アイルランドなど複数の欧州諸国でも同様の被害が報告され、冷蔵設備へのサイバー攻撃が国境を越えて広がる可能性が注目された。

一連の事件では、冷蔵設備の制御装置や遠隔管理機能が不正に操作されたと報じられている。フランスの一部店舗では保管庫の温度が約50℃に達したとの報告もあり、食品の廃棄や店舗運営への影響が生じた。

ただし、被害店舗数と食品廃棄が発生した店舗数は区別する必要がある。設備に異常が生じても、従業員や専門業者が早期に対応し、食品の廃棄を回避した店舗もあった。また、第1波と第2波が同じ攻撃者、同じ脆弱性、同一の攻撃計画によるものかは確認されていない。

それでも、今回の事件が持つ意味は大きい。これまでサイバー攻撃の被害として想定されることが多かった顧客情報の流出や決済システムの停止とは異なり、ネットワークを通じた不正操作が食品の温度を変化させ、物理的な損害を生み出したからだ。

冷蔵設備は店舗の裏側にある目立たない設備だが、食品を安全に販売するための基盤である。そこに接続された制御装置が攻撃対象になれば、店舗の営業だけでなく、食品の品質管理や流通の信頼性にも影響が及ぶ。

今回の事件は、食品小売業がデジタル化によって得た効率性の裏側に、これまで十分に認識されてこなかったリスクが存在することを示した。

日本の食品流通にも共通するリスク

今回の事件は欧州で発生したものだが、日本の食品小売業や物流業にとっても無関係ではない。日本でも、スーパーマーケット、食品工場、冷蔵倉庫、配送センターなどで温度監視や設備の遠隔管理が利用されており、制御システムのネットワーク接続が進んでいる。

特に、食品流通では冷蔵・冷凍設備の稼働が事業継続に直結する。大型店舗や物流拠点では、設備の状態を集中管理することで省人化や電力使用の効率化を実現しているが、管理システムが攻撃を受ければ、複数の設備や拠点に影響が広がる可能性がある。

日本でも、制御システムのセキュリティ対策は重要な政策課題となっている。経済産業省は工場システム向けのサイバー・フィジカル・セキュリティ対策ガイドラインを整備し、2025年には半導体デバイス工場向けのＯＴセキュリティガイドラインも公表した。対象業種は異なるものの、設備の稼働とサイバー防御を一体として管理するという考え方は、食品関連施設にも応用できる。

また、情報処理推進機構（ＩＰＡ）は2026年4月版の「制御システムのセキュリティリスク分析ガイド第2版」を公開している。同ガイドは、制御システムの資産や脅威、脆弱性を把握し、事業への影響を踏まえてリスク分析を行うための資料であり、食品工場や冷蔵倉庫などの設備管理にも参考となる。

日本の食品関連企業がまず取り組むべきなのは、冷蔵・冷凍設備を含む制御機器の実態把握である。設備のメーカーや型式、ソフトウェアの更新状況、サポート期限、遠隔接続の有無、保守業者の管理権限などを整理し、リスクの高い機器を特定する必要がある。

次に、店舗や物流拠点のネットワークを分離し、制御設備へのアクセスを必要最小限に制限することが重要だ。遠隔保守を利用する場合は、多要素認証や接続記録の保存を徹底し、通常とは異なる操作や通信を検知できるようにする。

さらに、設備の制御システムが停止した場合に備え、現場で温度を確認する手段や、手動で設備を運転する手順を整えておく必要がある。温度異常が発生した際には、食品を隔離し、温度履歴と食品の状態を確認して、販売や廃棄を判断する体制も欠かせない。

中小規模の小売業者や食品事業者では、専任の情報セキュリティ担当者を置くことが難しい場合もある。そのため、設備メーカーや保守業者に任せきりにせず、契約上の責任分担を明確にし、専門機関や業界団体の支援を活用することが現実的な対策となる。

重要なのは、サイバーセキュリティを情報システム部門だけの仕事にしないことだ。店舗運営、設備保全、食品安全、物流、経営部門が連携し、設備の異常が食品の廃棄や供給の停止につながることを前提に、全社的な管理体制を構築する必要がある。

最終的な展望――「止めない防御」から「被害を広げない防御」へ

今後、食品小売業のサイバーセキュリティは、侵入を完全に防ぐことだけを目標とする考え方から、侵入された場合でも被害を限定し、事業を継続できる仕組みへと重点を移していくと考えられる。

冷蔵設備への攻撃を完全に防ぐことは難しい。新たな脆弱性が発見される可能性はあり、保守業者やソフトウェア供給元を経由した攻撃も想定しなければならない。したがって、侵入を防ぐ対策に加え、異常な温度変化を早期に検知し、設備を安全な状態に保ち、食品の損失を最小限に抑える対策が重要になる。

そのためには、サイバー防御と設備の安全設計を一体化する必要がある。外部ネットワークから制御装置を隔離するだけでなく、温度設定の異常を検知する独立した仕組み、手動運転への切り替え、現場での確認手順、食品の隔離と評価などを組み合わせることが求められる。

メーカー側にも責任がある。製品の販売時点で安全性を確保するだけでなく、サポート期間や脆弱性への対応方針を明確にし、利用者が更新や交換の必要性を判断できる情報を提供しなければならない。サポート終了後も設備を使い続ける場合には、ネットワークからの隔離や代替監視など、残存リスクを低減する措置が必要になる。

小売企業側も、設備を購入する際に価格や冷却性能だけでなく、セキュリティ更新の提供期間、遠隔管理の仕組み、認証方式、操作記録の保存機能などを評価項目に加えるべきだ。セキュリティを設備の付加機能ではなく、食品を安全に販売するための基本要件として位置付ける必要がある。

さらに、行政機関や業界団体には、攻撃情報や脆弱性情報を共有する仕組みの強化が求められる。個別企業が被害を受けてから対応するのではなく、同じ機器や管理システムを利用する企業に迅速に警告を出し、被害の連鎖を防ぐことが重要になる。

食品流通のデジタル化は今後も進む。遠隔監視、自動制御、在庫管理、配送最適化などは、食品の安定供給と事業効率の向上に欠かせない技術である。だからこそ、デジタル化を後退させるのではなく、その基盤となる設備と通信を安全に運用することが必要だ。

今回の欧州の事件は、冷蔵設備という日常的な機器が、サイバー攻撃によって食品供給の弱点になり得ることを示した。今後の食品流通に求められるのは、デジタル技術の利便性と、物理的な設備の安全性を両立させることである。

まとめ

2026年10月から11月にかけて欧州で報告されたスーパー冷蔵設備へのサイバー攻撃は、食品小売業のセキュリティ対策に新たな課題を突き付けた。冷蔵設備の制御装置が不正操作されることで、食品の温度管理が損なわれ、店舗の営業や食品の廃棄にまで影響が及ぶことが明らかになった。

今回の事件から得られる教訓は、次の5点に集約できる。

1. 制御設備もサイバー防御の対象である。 冷蔵・冷凍設備は物理的な機械であると同時に、ネットワークに接続された制御システムでもある。

2. 旧式機器と更新不足を放置しない。 サポート終了機器や既知の脆弱性を持つ装置は、攻撃の侵入口になる可能性がある。

3. ネットワークを分離する。 店舗の業務システムと冷蔵設備の制御ネットワークを分け、遠隔操作の権限を必要最小限にする。

4. 取引先や保守業者も含めて管理する。 自社の対策だけでなく、設備メーカーや委託先の接続環境、更新体制、責任分担を確認する。

5. 攻撃を受けても食品を守れる仕組みを作る。 独立した温度監視、現場での手動対応、食品の隔離・評価手順を整備する。

今回の攻撃が同一の攻撃者によるものか、政治的な目的を持つものかは、現時点で断定できない。しかし、食品を保存する設備がサイバー攻撃の標的となり、デジタル上の侵害が現実の食品廃棄につながったという事実は重い。

食品の安定供給を守るには、生産量や輸入先の確保だけでは不十分である。生産された食品を適切な温度で保管し、輸送し、販売するためのデジタル基盤も守らなければならない。

冷蔵設備のサイバーセキュリティは、もはや情報システムの問題にとどまらない。食品安全、事業継続、そして食料安全保障を支える重要な課題になっている。

参考・引用資料一覧

1. 欧州の事件・被害状況

- ロイター（2026年11月2日）「New cyberattack on supermarket fridges sweeps across Europe」

- ＡＰ通信（2026年11月2日）「Supermarket freezers in several European countries hit by apparent cyberattacks」

- ル・モンド（2026年10月13日）「A disastrous day for French supermarkets after massive cyberattack targets refrigeration systems」

- ＡＦＰ（2026年11月2日）「Fridge cyberattack hits supermarkets across Europe」

- ガーディアン（2026年11月2日）「欧州7か国のスーパー冷蔵設備へのサイバー攻撃に関する報道」

2. ＯＴセキュリティ・技術的対策

- 米国サイバーセキュリティ・社会基盤安全保障庁（ＣＩＳＡ）

- 国際標準化機構・国際電気標準会議

ＩＥＣ６２４４３シリーズ。

- 米国国立標準技術研究所（ＮＩＳＴ）「ＯＴセキュリティガイド」改訂第4版の初期草案（2026年9月）

3. 欧州の法規制

- 欧州委員会「サイバーレジリエンス法」

- 欧州委員会「ＮＩＳ２指令」

- 欧州ネットワーク・情報セキュリティ機関（ＥＮＩＳＡ）

4. 日本の制御システム対策

- 情報処理推進機構（ＩＰＡ）「制御システムのセキュリティリスク分析ガイド第2版」（2026年4月版）

- 経済産業省「半導体デバイス工場におけるＯＴセキュリティガイドライン」（2025年10月）

- 経済産業省「サイバー・フィジカル・セキュリティ対策」