インターネットに露出した冷蔵制御装置、ハッカーはスパム送信などにも悪用か

インターネットに露出した冷蔵制御装置、ハッカーはスパム送信などにも悪用か

Help Net Security – November 9, 2026

スーパーマーケットや冷蔵倉庫で使用されているインターネットに接続された冷蔵制御装置が乗っ取られ、スパムボットネットのインフラとして悪用されている可能性があるという。SecurityScorecardが調査結果を報告した。

SecurityScorecardのSTRIKE Threat Intelligence Teamは、Dixell/Copeland XWEB PROコントローラーの悪用状況を追跡。いくつかのコントローラーを組み込んだSMTPボットネットと思われるものを発見したという。このコントローラーはスーパーマーケットや冷蔵倉庫で冷凍・冷蔵設備を稼働させているシステムで、技術者これを使用して遠隔から温度の確認や設定の変更を行うことができる。同コントローラーとDanfoss製品については、10月にフランスのスーパーマーケットを襲ったサイバー攻撃でも標的になっていたことが報告されている。

SecurityScorecardが発見したSMTPボットネットと思しきものは9件のIPから成り、うち3件がXWEBコントローラーであることが確認されている。これら3件には受信メールがなく、スパム送信専用として機能していたものとみられる。こうしたシステムへの侵入は、CVE-2026-25085を通じて行われた可能性が高いとSecurityScorecardは指摘。これはコントローラーのログインチェックにおける欠陥であり、認証されていないユーザーがパスワード入力の要求をバイパスすることを可能にするものだという。

SecurityScorecardによると、攻撃者が一度コントローラーに到達できれば、当該システムは安定したIPアドレスを持つ小型のLinuxコンピューターとして機能する。またセキュリティチームによる監視やログ記録が行われていないため、誰にも気づかれることなく数週間から数か月にわたり悪用され続ける可能性があるという。同社は評価の全体的な確度は低～中程度と説明。デバイスの動作やSMTPの連携については十分な裏付けがあるものの、デバイスの完全な帰属先やC2の状況については、現在も調査中であるとした。なお、同社はこの発見とフランスやヨーロッパ諸国で相次いだ冷蔵システムへの攻撃とを関連づけているわけではない。

これとは別に、Ransom-ISACも、ある商業用冷凍施設で使われている別のXWEB Proコントローラーに対する攻撃に関する分析結果を公表。11月2日未明（現地時間）にオーストラリアとオランダのIPアドレスから発信された2つの管理者セッションが31台のデバイスの設定を読み取り、その後、110°Cおよび150°Cの設定値を含む743件の変更を行って、アラームを無音化したりローカルのキーパッドをロックしたりするコマンドを送信したという。

標的となったコントローラーはインターネットに露出しており、工場出荷時の管理者ログインを使用していた。このため攻撃者は脆弱性を悪用する必要なく、デフォルトの認証情報を使うだけで同コントローラーを侵害可能だったとされる。なお、Ransom-ISACが入手したイベントログからは機器がどの温度に達したかや、食品の損失があったかどうかは確認できないという。

この攻撃は、フランスの血液事業機関Établissement français du sang（EFS）の冷蔵保管庫に影響を与えた攻撃と同じ日に発生している。ただ、Ransom-ISACは両攻撃を結び付ける証拠はないとした。またスーパーマーケットへの攻撃については親ロシア派グループのNoName057(16)とZ-Pentestが犯行声明を出しているが、その真偽は不明な上、Ransom-ISACが分析した攻撃とこれらのグループとの関連を示す証拠もないという。

Ransom-ISACは、攻撃者が身代金の要求も行わず、また既知のマルウェアも使用せずに、冷凍システムの「通常の制御機能」を利用して物理的な損害を引き起こした点が今回の攻撃の重要なポイントであると指摘。また、「こうしたコントローラーのうち、依然として数千台がインターネットに公開されたままであり、それらを遠隔で管理する第三者機関は、必要な更新プログラムをインストールしていない場合が多い」と警告した。

SecurityScorecardも、冷凍制御ソフトウェアはインターネットに接続されているが、更新を行うには機器をオフラインにする必要があることや、リスクが見過ごされていることなどから、セキュリティ更新が行われないことがよくあると説明している。