【10/13】ダンフォス製冷蔵にサイバー攻撃｜仏スーパー数百店で食品廃棄、日本は？

フランスで2026年10月11日の夜から12日にかけて、大手スーパー数百店舗の冷蔵・冷凍設備がサイバー攻撃を受けました。標的になったのは、デンマークの大手メーカー「ダンフォス（Danfoss）」の冷蔵設備を管理する制御装置です。霜取りの運転が止まらないよう操作され、庫内の温度は最高50度まで上がり、生鮮食品や冷凍食品が大量に捨てられました。一部の店では火災も起きたと伝えられています。

パリ検察はすでに捜査を始めていますが、誰が、どこから入り込んだのかはまだ公表されていません。この記事では、10月13日までに分かっている事実を、被害の規模、手口、狙われた機器、捜査の状況の順に整理し、日本のスーパーや食料の流通が同じ攻撃に備えられているのかを考えます。

ダンフォスの冷蔵制御へのサイバー攻撃とは？10月11日夜にフランスで起きたこと

10月11日夜、仏スーパーの冷蔵設備を管理するダンフォス製の制御装置が乗っ取られ、店内の冷蔵庫や冷凍庫が冷えなくなった事件です。

ITmedia NEWSによると、攻撃が起きたのは現地時間の10月11日夜から12日にかけてです。冷蔵・冷凍設備を狙った大規模な攻撃で、被害は数百店舗に及びました。冷蔵設備の温度は最高50度まで上がり、生鮮食品と冷凍食品が大量に廃棄されています。

AFP通信によると、大手チェーンが攻撃を発表したのは12日です。冷蔵設備の業界メディア「Cooling Post」は12日付で、攻撃者がフランスの数百のスーパーで冷蔵システムを乗っ取り、温度の設定を書き換えたと報じました。

スーパー「Super U」「Hyper U」を展開するコーペラティブUのドミニク・シェルシェCEOは12日、SNSへの投稿で系列の店が攻撃を受けたことを認めました。ITmediaが伝えた投稿では、「生鮮食品の保存とフランス国民への食料供給に不可欠な設備を攻撃することは、極めて重大で前例がない。容認できない」と非難しています。

欧州連合（EU）で農業と食料を担当するクリストフ・ハンセン欧州委員も、X（旧ツイッター）で攻撃を非難しました。AFP通信によると、ハンセン氏は「あらゆるレベルで食料安全保障に一層の注意を払う必要がある」と述べています。

被害を受けたスーパーはどこ？店舗数は報道で食い違う

自社で被害を認めたのはE・ルクレール、インターマルシェ、コーペラティブUの3社で、店舗数は報道ごとに差があります。

AFP通信は、3社がAFPに攻撃を受けたと明らかにしたと伝えました。カルフール・マーケットなど他の大手も被害を受けたと報じられていますが、AFPの記事では会社側の確認は示されていません。各社の店舗数を、報道ごとに並べると次のとおりです。

表のとおり、インターマルシェの店舗数はAFPとロイターで約2倍の開きがあり、どちらが正しいかはまだ決められません。系列店を数えに入れたかどうかなど、数え方の違いが考えられますが、会社側の正式な数字は出ていません。

Cooling Postは、報告された事例から被害を約500店舗としつつ、正確な数は分からないとしています。公式の集計ではありません。当サイトでは、会社や当局が数字を出した時点で表を直します。

捨てられた食品と損失の大きさ

被害の店では食品を廃棄し、損失は数百万ユーロ規模、1社で数千万ユーロの見込みとする報道もあります。

AFP通信によると、インターマルシェは被害を受けた店で生鮮食品と冷凍食品を「すべて廃棄しなければならない」と説明しました。ITmediaが伝えたロイターの報道では、衛生上の危険を避けるための廃棄です。Cooling Postは損失を数百万ユーロ規模の生鮮・冷凍食品と伝え、日本経済新聞は、あるチェーンの損失の見込みが数千万ユーロに達したと報じています。

攻撃の手口は？「霜取り」を止めずに庫内を50度まで上げた

冷蔵設備の霜取り運転が続くように遠隔で設定を書き換え、冷やす機械を温める状態のまま放置させた手口です。

冷蔵ケースや冷凍庫は、冷やす部分に付いた霜を溶かすため、決まった時間だけ温める「霜取り」の運転をします。ITmediaによると、今回の攻撃では、通常は短い時間だけ動く霜取りが止まらずに続くよう設定されていました。仏BFMテレビは、ハッカーが多くの店で冷蔵設備の「強制霜取り」を遠隔で作動させたと報じています（AFP通信が引用）。流れを図にすると次のとおりです。

図のとおり、公表された情報で確認できるのは、店の設備そのものを遠隔で動かして物理的な損害を出したことです。データが盗まれたかどうかは、まだ明らかにされていません。

日本経済新聞は、ネットワークにつながった冷蔵・冷凍設備が霜取りの状態にされ、ハッカーが機器の温度を50度に設定したと伝えています。温度の上がり方が店ごとにどうだったか、どのくらいの時間続いたかは、まだ詳しく公表されていません。

火災や水漏れは攻撃のせいなのか

火災や水漏れは報告されていますが、原因や攻撃との因果関係はまだ確定していません。

ITmediaは一部の店で火災が起きたと伝えました。AFP通信によると、パリ検察も攻撃を確認したうえで、火災を引き起こした可能性があるとの見方を示しています。日本経済新聞は、一部の店で設備が水浸しになったと報じました。検察は、火災と攻撃の関係を調べています。

狙われたのはどの機器？ダンフォスは「旧型と古いファームウェア」と説明

被害を受けた機器の大半は、販売を終えた旧型の制御装置か、古いファームウェアのまま使われていた現行の装置です。

ダンフォスは12日、Cooling Postに声明を出しました。同社は被害を受けたフランスのスーパーと密に連絡を取り、「影響を受けた顧客と協力して、適切な対策を実施している」としています。Cooling Postが挙げた機種は次の3つです。

表のとおり、被害の中心は更新が止まった古い機器と、更新を当てていなかった現行の機器です。日本経済新聞も、被害の大半が製品寿命を迎えた古い機器で、ソフトやセキュリティの更新の対象から外れていたと伝えています。

ダンフォスが進める対策は、更新できる機器へのファームウェアの適用、ネットワークの守りの強化、インターネットへ直接つながっている状態の解消です。同社は以前から、使える機器は最新のファームウェアに保ち、旧型は現行の製品へ切り替えるよう顧客に勧めてきたとしています。

8月には冷蔵制御の弱点が公表されていた

2026年8月、米セキュリティ会社のClarotyが、ダンフォスの現行機種AK-SM 800Aなどに弱点があると公表していました。

IT専門メディアのiTWireによると、Clarotyの研究チームは、AK-SM 800Aに隠れた認証の仕組み（CVE-2025-41450）があり、悪用されると正規の認証を飛び越えて外から命令を実行できるおそれがあると報告しました。研究者は、攻撃者が冷蔵システムを物理的に操作し、中の食品を気づかれないうちに傷ませられると警告していました。ダンフォスは修正したファームウェアを出しています。

ただし、今回の攻撃でこの弱点が使われたかどうかは、ダンフォスも捜査当局も明らかにしていません。弱点の公表と今回の被害を直接結びつける公式の説明は、10月13日時点ではありません。

犯人は誰？パリ検察の捜査と、まだ分かっていないこと

パリ検察が捜査を始めましたが、攻撃者と侵入の経路は10月13日時点で公表されていません。

AFP通信によると、パリ検察は、フランス全土の大手食品小売チェーンの冷蔵設備に影響した大規模なサイバー攻撃として捜査を始めたと明らかにしました。被害を受けた会社を特定し、報告された食品の損失や火災との関係を調べるとしています。情報筋によると、フランス当局は欧州各国の関係機関と連携し、被害を受けるおそれがある国内の企業に注意を呼びかけています。

分かっていることと分かっていないことを分けると、次のとおりです。

• 分かっていること：攻撃の時期（11日夜〜12日）、霜取りを使った手口、ダンフォス製の制御装置が標的になったこと、被害を認めた3社、パリ検察の捜査開始
• 分かっていないこと：攻撃した人物や組織、侵入の経路、被害の正確な店舗数と損失額、8月に公表された弱点との関係

国家が関わる攻撃かどうかについて、捜査当局は何も示していません。当サイトでは、犯人について根拠のある発表が出るまで、特定の国や集団の名前を挙げません。

（編集部分析）身代金の要求が伝えられていない点は、金目当ての犯罪と見るには説明がつきにくいところです。ただ、目的を示す材料は今のところ公表されておらず、犯人像を決めつけるのは早いと考えます。分かっているのは、食料という生活の土台が、遠隔の操作ひとつで一晩のうちに損なわれたという事実です。

日本のスーパーは大丈夫？国の制度で守られている範囲

スーパーの冷蔵設備は、経済安全保障推進法の基幹インフラ制度による事前審査の直接の対象ではありません。

経済安全保障推進法の基幹インフラ制度は、国が指定した事業者が重要な設備を入れるときに、事前に国へ届け出て審査を受ける仕組みです。総務省によると、制度は15の事業を対象にしています。トレンドマイクロの解説によると、関連の規定は2023年11月17日に施行され、事前の届け出と審査は2024年5月17日に始まりました。

表のとおり、この2つの仕組みは大きなインフラと攻撃元への対処が中心で、スーパーの冷蔵設備の古さや設定まで国が事前に確かめる形にはなっていません。能動的サイバー防御の時期は、熊本日日新聞が配信した共同通信の記事によるものです。

前例もあります。2023年7月に名古屋港のコンテナターミナルがサイバー攻撃で約3日止まったあと、港湾運送が基幹インフラの対象に加えられました。被害が出てから対象を広げた形です。

国内のスーパーでダンフォス製品は使われているのか

国内のスーパーで今回の機種がどれだけ使われているかは、公表された資料では確かめられませんでした。

ダンフォスは冷凍・空調の機器で世界の大手の一つで、iTWireはClarotyの報告として、同社の製品がスーパーや低温倉庫に広く入っていると伝えています。ただ、日本のどの店で、どの機種が、ネットにつながった状態で使われているかを示す公の資料は見当たりません。国内の店が直ちに同じ被害を受けると決めつける根拠はありません。

食料安全保障から見た今回の攻撃（編集部分析）

（編集部分析）食料の守りは農地や輸入だけでなく、店の冷蔵庫を動かす制御の仕組みにも及ぶことを、今回の事件は示したと評価できます。

（編集部分析）日本は食料の多くを輸入に頼っており、国内に入った食品を新鮮なまま届ける冷蔵・冷凍の流通は、命綱の一つです。その要の機器が海外メーカーの製品で、更新が止まった古い機種のままネットにつながっていれば、遠くの誰かが一晩で店の棚を空にできてしまいます。今回、仏コーペラティブUのトップが「国民への食料供給」と結びつけて非難したのは、まさにこの点だと考えます。

（編集部分析）「誰が得をするのか」という問いで見ると、古い機器を使い続けるのは店にとって目の前の費用を抑える選択です。しかし、そのつけは食品の廃棄、そして供給が止まる不安として、最後は消費者に回ってきます。国の審査の対象外だからこそ、業界と国が一緒に、ネットに直接つながった古い制御装置がどれだけあるかを把握することが、主権を守る第一歩になると評価できます。

（編集部分析）基幹インフラの対象を広げれば、事業者の届け出の手間は増えます。名古屋港の例のように被害が出てから足すのではなく、食料の流通がどこまで国の目に入るべきかを、今のうちに議論しておく価値はあると考えます。

今後の注目点は？捜査の行方と各社の復旧

注目点は、パリ検察が攻撃者と侵入経路を示すかどうかと、被害の正確な店舗数と損失額が出るかどうかです。

ダンフォスは影響を受けた顧客と復旧を進めており、コーペラティブUのCEOも、今後の調査で攻撃の実態が明らかになるとの見通しを示しています。フランス当局は欧州の関係機関と連携して注意を呼びかけているため、ほかの国で同じ機器を狙った動きがあるかどうかも見ておく必要があります。

一般の買い物客にとっては、10月13日時点で日本の店や食品への被害は報じられておらず、慌てて行動を変える必要はありません。国内で被害の情報が出た場合は、利用しているスーパーの告知と、内閣サイバーセキュリティセンターなど公的機関の発表を確かめてください。

店で冷蔵設備を管理している人は、ダンフォスが勧めているとおり、制御装置がインターネットに直接つながっていないか、ファームウェアが最新か、販売を終えた旧型を使い続けていないかを確かめておくと備えになります。当サイトでは、捜査や日本の対応に新しい動きがあれば、この記事に追記します。

ダンフォスの冷蔵制御へのサイバー攻撃のよくある質問

報道を読んで出てきそうな疑問に、10月13日時点の報道と発表の範囲で答えます。

被害の規模や犯人について公式の発表が出たら、この記事の表と本文を直します。

参考情報

• ITmedia NEWS「フランスのスーパー数百店舗で冷蔵設備にサイバー攻撃 温度が最高50度に上昇し食品大量廃棄に」（2026年10月13日）
• AFPBB News「フランスでスーパー数百店舗にサイバー攻撃 冷蔵設備が標的、検察が捜査開始」（2026年10月13日）
• Cooling Post「Danfoss moves to mitigate cyberattack」（2026年10月12日）
• Cooling Post「French supermarkets hit by massive cyberattack」（2026年10月12日）
• 日本経済新聞「フランスで大手スーパーがサイバー攻撃被害 冷凍・冷蔵設備が標的に」（2026年10月13日）
• iTWire「Claroty finds multiple security vulnerabilities in Danfoss and Copeland refrigeration controllers」（2026年8月11日）
• 総務省「経済安全保障推進法（基幹インフラ制度）」
• トレンドマイクロ「経済安保推進法の基幹インフラ制度と港湾の追加」
• 熊本日日新聞（共同通信）「無害化措置を10月開始へ 政府、サイバー防御巡り」（2026年1月9日）