サイバー攻撃により冷蔵設備が50℃になったフランスのスーパーの様子。国内で約400店舗が被害に遭い、冷凍食品などは廃棄処分に。被害総額は数十億円にも上るという
10月11日のフランスを皮切りに、欧州各地でスーパーの冷蔵・冷凍設備がサイバー攻撃を受け、大量の食品が廃棄処分されている。あまり報じられてないけど、これ、ハッカーに本気を出されたら立派な"兵糧攻め"になるのでは？
最悪の近未来を専門家と共に緊急シミュレーションした！
11月2日、欧州各地のスーパーが大規模なサイバー攻撃を受け、冷蔵庫や冷凍庫の温度を不正に操作された結果、食品の廃棄を余儀なくされる事件が起こった。スウェーデンやベルギー、ルクセンブルクなどの店舗で冷蔵庫や冷凍庫の温度が50℃前後まで上昇するケースが相次いだ。
10月にはフランス各地でもスーパーの冷蔵設備が狙われる事件があり、日本円で数十億円相当の被害が生じていた。イギリスのBBCによると、「同様の手口による攻撃との見方が有力」だという。
狙われたのはネット接続型の冷蔵・冷凍設備であり、ハッカーが温度を制御するシステムを乗っ取り、冷却システムの「自動霜取り機能」を悪用。遠隔で高温状態になるように操作したとみられている。
サイバー攻撃により冷蔵設備が50℃になったフランスのスーパーの様子
フランスの事件について、欧州委員会で農業・食料担当委員を務めるクリストフ・ハンセン氏は、「食料を武器として利用する行為が現実のものとなった」と述べ、食料安全保障にいっそうの注意を払う必要があるとの認識を示した。フランスの放送局RTLは、この事案を「国家の危機」とまで報じた。
食料を武器として利用する攻撃、つまり〝兵糧攻め〟が現代においても可能かつ有効であると示されてしまったわけだが、実際に今回の事案が他国からの攻撃である可能性はあるのか。明治大学サイバーセキュリティ研究所で所長を務める齋藤孝道教授が、次のように解説する。
「もし一般的なサイバー犯罪だとすれば、通常は金銭要求やなんらかのメッセージの発信など、攻撃者の目的を示す動きが伴うことが多い。ただの愉快犯の可能性はありますが、事件が始まった時期が重要です。
最初の被害発生はフランスの暴動が欧州を騒がせている最中でした。こうした状況を踏まえれば、ロシアが欧州の社会不安をあおることを狙った『認知戦』の一環の可能性が高いと推測できます」
認知戦とは、人間の心理に働きかけ、相手国の世論操作や社会の分断を意図的に引き起こす戦略的活動のことで、現代の安全保障において極めて重要視されている。
「ネットでニセ情報を流すことだけが認知戦ではありません。デモを扇動して破壊工作を誘発したり、今回のようにサイバー攻撃や食料供給を妨害したりすることも認知戦のひとつ。
社会の安定性を揺るがすことで政治の信頼を失墜させたり、人々の不安や混乱を引き起こしたりすることで、国家や社会を弱体化させる。それも認知戦の目的だからです」
フランスの一件で標的となった、デンマークのダンフォス社のシステム。21年にサポートが終了した旧型モデルを使い続けていた店舗が狙われた
ウクライナ侵攻を巡ってロシアと対立しているEUでは、以前から加盟各国の重要施設がサイバー攻撃の標的にされてきた。
過去にはフランスやポーランドの発電所や浄水プラントといったインフラ施設が、親露派のハッカー集団からサイバー攻撃を受けた。その背景にはロシア政府の関与が疑われており、欧州各国では国を挙げてサイバーセキュリティに注力している。
そうした中で今回は「スーパーの冷蔵設備」という、セキュリティ管理の甘い分野が狙われてしまったわけだ。
では、日本のスーパーでも同様の事件が起こる可能性はあるのか。流通アナリストの渡辺広明氏がこう語る。
「現状では可能性は低いでしょう。日本のスーパーやコンビニでは冷蔵・冷凍ケースの温度管理は店舗で行なうのが基本です。遠隔監視は導入されていますが、欧州のスーパーのような遠隔操作までは普及しておらず、同様の規模の攻撃がそのまま日本で起こるとは考えにくいと思います。
ただ、日本は人手不足のため、店舗設備のネットワーク化や遠隔システムの活用といったDXは中長期的に必須です。従って、日本の店舗でもサイバー攻撃の対策が重要になっていくのは確実です」
実際、日本では人手不足解消のために実店舗でもデジタル化が進んできた。最近は企業の情報流出ばかりが注目されているが、そうした店舗や施設の運営を支えるテクノロジーの安全性は大丈夫なのか。サイバーセキュリティの専門家としてYouTubeなどで情報発信を行なっている、ハッカーかず氏がこう話す。
「ここで問題になるのが、パソコンやスマホなどを動かす『IT（情報技術）』と店舗や工場の業務用機器などを動かす『OT（運用技術）』というテクノロジーの性質の違いです。
業務用機器は何年も長く使い続けるのが前提であり、システムのアップデートについても、機器を止めると損失が発生するため、スマホなどと違って頻繁に更新する慣習がありませんでした」
スウェーデンも同様のサイバー攻撃を受けた。台無しになった冷凍食品はカートに積み込まれて運ばれた
台無しになった冷凍食品は最終的に廃棄された
欧州で被害に遭った冷蔵設備も、実は以前からシステムの脆弱性が指摘されていた。
メーカーは修正パッチを配信したものの、現場ではパッチ適応外の古い機器が現役で稼働し続けており、そこからネットワークに侵入され、連鎖的に被害が拡大していった。
「今はAIの発達によって攻撃手法が急激に進化しているため、日々システムをアップデートし続けなければならない時代になっています。
モノとしての耐用年数と運用システムの耐用年数とのギャップが年々深刻になっていることが店舗や工場のDXにおける課題であり、サイバーセキュリティ上の大きなリスクです」
ハッカーかず氏が続ける。
「例えば、昔ながらの工場の制御システムは独自規格が多く、解析に莫大なコストがかかるため、ハッカー集団にとっても攻撃のハードルが非常に高い分野でした。しかし今では分厚い仕様書をAIに読ませるだけで、どんな構造か瞬時にわかります。
また、DXが進み、業務用機器がネットに接続されるようになると、外部からの攻撃も容易になりました。その結果、これまで狙われにくかった分野が格好の標的になりつつあります」
前出の齋藤教授もうなずく。
「すでに海外では『サイバー傭兵』という職業も出てきています。本来、ハッキングには専門的な知識や技術が求められますが、低いスキルしか持たない人間でも、AIを使えば〝兵士〟として戦力になりえます。そうした人間を束にして派遣することが現実に可能になってきているのです」
AIの進化がサイバー攻撃のハードルを引き下げた以上、日本も欧州のようなインフラ攻撃のリスクを対岸の火事と見なすわけにはいかない。
「これまでも仮想通貨の取引所から数千億円単位の資産が盗み出されて北朝鮮のミサイル開発資金に充てられていますし、AIが株価の誘導工作などに悪用されるケースもあります。日本に対する他国からのサイバー攻撃がゼロだったわけではないのです。
ただ、インフラ攻撃のような大規模なものがなかったのは、日本のセキュリティが万全だったからではなく、欧米各国に比べて、日本を攻撃するメリットがロシアや中国にとって相対的に小さかったからである可能性があります」
しかし今後、例えば台湾有事が現実味を帯びてくれば、対日工作の重要性は高まる。
「ロシアが中国や北朝鮮と関係性を深める中で、それらの国が連携してサイバー攻撃を仕掛けてきたら、日本がかつてない試練に直面するのは間違いないでしょう」
日本はこの脅威をどう防げばいいのか。前出のハッカーかず氏がこう指摘する。
「AIによる攻撃は、AIで防ぐしかありません。世界中で騒動になったプログラミング言語『PHP』の脆弱性も、オープンAIの協力によって修正パッチが開発されました。
もはやサイバーセキュリティは人間の力だけではAIに対抗することが不可能な次元に突入しています。今後は常に自社のシステムに問題がないかをAIでスキャンし続け、ハッキングのリスクを先回りして潰し続けるしか対策はありません」
しかし、高性能なAIの開発がアメリカのテック企業に集中している現状を踏まえれば、日本の安全保障は今以上にアメリカ依存が強まることも意味している。もしも日米関係が悪化して、日本向けのトークン代（AIの利用料）を急激に値上げされたら、サイバーセキュリティは一瞬で危機に陥るからだ。
「そう考えると、今後の安全保障は〝ヒトへの兵糧攻め〟よりも、トークン代を交渉の材料にされる〝AIへの兵糧攻め〟こそが最大のリスクなのかもしれません」
デジタル安全保障がなければ生き残れない。そんな時代の到来はすぐそこに迫っている。
