ハッカーたちは、新たな攻撃の標的として「生鮮食品」を見出しました。
例えば、英国の冷蔵輸送会社である の「Peter Green Chilled」の事例を挙げましょう。 数ヶ月前、「 」というランサムウェアによる攻撃（ ）により、同社によるテスコ、アルディ、セインズベリーの各スーパーマーケットへの配送業務に支障が生じました。 その同じ月、デンマークの乳製品大手 アルラ・フーズ（ ）に対するサイバー攻撃により、ドイツ全土の物流が混乱しました。 そして昨年11月、ランサムウェアの攻撃により、アリゾナ州に拠点を置く のBlue Yonder（）がシステムダウンし、北米のスターバックス店舗や英国のスーパーマーケットチェーン「モリソン」への商品出荷に支障が生じました。
How much these companies lost in the attacks is difficult to calculate, but UK firms reportedly face an average total cost of recovery of $2.58 million per incident in 2025. サイバー犯罪者たちは、システム停止による被害が最も甚大となる業界を標的にしており、多くの場合、ヨーロッパが攻撃の起点となり、そこから米国やその他の地域へと広がっています。
実際、サイバー犯罪集団「Scattered Spider」は、今年初めにも同様の手口を用い、 によるボイスフィッシング（別名：ヴィッシング） を活用して、英国の小売業者であるマークス＆スペンサー、コープ・グループ、ハロッズのヘルプデスクを乗っ取ったとみられています。 国家犯罪対策庁は7月、容疑者4名（20歳の女性1名と、 17 歳から19歳の10代の少年3名）を逮捕したと発表しました。
コールドチェーンを標的とした攻撃は、大手小売業者に関連する事件に比べ、ニュースの見出しになることははるかに少ないものの、サイバー犯罪者たちは、この分野への攻撃がいかに利益をもたらすかをよく認識しています。 彼らがコールドチェーンを標的にしたのは、その運営が厳格な時間枠に基づいているからです。すべての商品には賞味期限があり、すべての配送は特定の時間枠に縛られているからです。 バター、肉、医薬品などの生鮮品の流れを凍結させることで、攻撃者は を通じて、最も耐性のある企業でさえも の支払いを迫ることができます。
「これはもはや、単なる場当たり的な機会主義ではありません」と、英国の温度管理物流業界を代表し、約 300 の加盟組織を擁するコールドチェーン連盟のCEO、フィル・プラック氏は述べています。 報道によると、ハッカーたちは過去 18 ヶ月間に、加盟企業に対して他にも約10 件の攻撃または攻撃未遂を仕掛けたとのことです。 「私たちは絶えず攻撃を受けており、ランサムウェア集団はこの分野がいかに重要かを熟知しています。」
コールドチェーンが活気づいています
そのリスクを理解するために、バター1パックを例に考えてみましょう。
「私たちは絶えず攻撃を受けており、ランサムウェアグループはこの分野がいかに重要かを熟知しています。」コールドチェーン連盟 CEO フィル・プラック氏
プラック氏の説明によると、バターの移動経路は数十のシステムにまたがり、数百マイルにも及ぶ可能性があります。 生産者から倉庫、そして地域配送センターへと運ばれ、最終的に英国国内だけでも 32,012 店舗ある「」スーパーマーケット（ ）のいずれかに届けられます。 その過程で、位置情報だけでなく、温度、時間、取り扱い状況なども追跡するように設計された、相互連携したデジタルシステムのネットワークを通過してきました。
Now, multiply that one pack by an estimated 1.1 billion sold each year, add in thousands of hospitals and fast-food outlets, and stretch the process across 365 days and more than 100,000 temperature-controlled trucks. あらゆる物流活動は、生産者、倉庫、流通業者、小売業者間で共有される可視性（ ） に依存しています。 その可視性が失われれば、バターのサプライチェーン全体が機能不全に陥ってしまいます。 サイバー犯罪者たちはそれを知っています。
[関連記事：EUで新たな分散型サイバー防衛モデルが注目を集めています]
「サプライチェーンに関わる全員が、製品がどこにあるのか、どのような状態なのか、そしていつ移動させる必要があるのかを知っていなければなりません」とプラック氏は述べています。 「その一部でも機能しなくなれば、チェーン全体が機能停止してしまいます。」
そして、システムが利用不能になることこそが、ランサムウェア攻撃で実際に起こる現象だと、彼は述べています。
ランサムウェアの攻撃者は、生鮮食品を交渉の切り札として利用しています
のサードパーティ・リスク の専門企業であるSecurityScorecardのシニア・ペネトレーションテスター、デビッド・マウンド氏は、この戦略を明確に捉えています。
「攻撃者は、たとえ短時間の障害であっても、商品の劣化や金銭的損失につながることを理解しています。」SecurityScorecardのシニア侵入テスト担当者、デビッド・マウンド氏
「ランサムウェアの運営者は、支払いのタイミングが極めて重要であると分かっている組織を標的にするでしょう」と彼は述べています。 「生鮮品のサプライチェーンであるため、その緊急性はさらに高まります。」
ほとんどの攻撃において、攻撃者はデータを暗号化し、ファイルを盗み出し、その後、アクセス権と事件の公表を見送る見返りとして身代金を要求することを目的としています。 しかし、コールドチェーンの場合、事態は急速に深刻化します。
「乳製品のような生鮮食品を流通させている場合、稼働停止は即座にコストにつながります」とマウンド氏は述べています。 「攻撃者は、たとえ短時間の業務中断であっても、商品の劣化や金銭的損失につながることを理解しています。」
[関連記事：バークレイズのCISO（最高情報セキュリティ責任者）が、セキュリティ、規制、コンプライアンスをどのように両立させているか]
そして、それは配送される食品やその他の製品の複数のブランドに影響を及ぼす可能性があり、さらに、配送先の多くのスーパーマーケットやその他の店舗にも影響が及ぶ可能性があります。 「ブラック・ファーマー」の創設者であるウィルフレッド・エマニュエル＝ジョーンズ氏（ ）は、BBCの『 』に対し、サイバー攻撃が発生した当時、ピーター・グリーン・チルド社を通じて数千ポンド相当の肉類やその他の生鮮食品が配送されていたと語りました。 「何千、何万という商品のパックがそこに山積みになっており、時間は刻々と過ぎていくのです」と彼は述べました。
ランサムウェアがあなたの薬箱をどのように攻撃するのか
これは単に食べ物だけの話ではありません。 例えば、プラック氏によると、コールドチェーンは英国の救命医薬品の 20％も取り扱っているため、これらもまた影響を受けやすいとのことです。 実際、 2020年のパンデミック期間中、ランサムウェアにより、 のCOVIDワクチンの注文処理や在庫管理に支障が生じました。。
が最近実施した、製薬サプライチェーンの責任者を対象とした調査（ ）によると、回答者の約3分の2が、リアルタイムの可視性の欠如をサプライチェーンに対する深刻な脅威として挙げており、83％の企業が、脅威を軽減し、コールドチェーンの完全性をより確実に確保するために、リアルタイムの追跡および状態監視ツールを活用しています。
[関連記事：是正措置の可視化でセキュリティを効率化しましょう]
「ランサムウェア攻撃を受けると、企業は機能停止に陥り、多くの場合、状況が把握できなくなってしまいます」とプラック氏は述べています。 「倉庫管理システムでは、商品の識別が行われなくなります。」 配送トラックは、荷物の配達状況を報告することができません。 「昨年のクリスマスには、ある攻撃により、システムが入荷品を登録できなくなったため、サプライヤーへの請求書発行が停止してしまったほどでした。」
ランサムウェアは、コールドチェーンの脆弱化した防御ラインを悪用しています
コールドチェーン物流がこれほど脆弱である理由の一つは、共有システムや のサードパーティベンダーへの依存にあるからです。。 大小を問わず、コールドチェーン企業は共通の管理システムに依存しています。 複数の企業がデジタルでつながっている場合、たった一つの脆弱な部分があるだけで、チェーン全体が危険にさらされる可能性があります。
これには、古く、脆弱で、多くの場合 パッチを適用できない レガシーOTシステムも含まれます。
「今でも現場でWindows NTを見かけることがあります」とマウンド氏は、マイクロソフトのオペレーティングシステムのうち、すでに長くサポートが終了しているバージョンについて言及しながら述べています。 「それらのシステムを更新するために停止させると業務に支障をきたすため、企業は単にそれらを隔離しようと努めているのです。」 しかし、時が経つにつれて、請負業者はVPN（仮想プライベートネットワーク）やリモートアクセスを利用して、そうした防護策に穴を開けてしまうのです。 「そうやって攻撃者が侵入してくるのです。」
プラック氏は、攻撃者がある従業員に対して、 からのフィッシングメールを数百通も一斉に送りつけたある事件を振り返っています。。 1か月後、彼らは同社のIT部門を装い、スパムメールの正確な件数を挙げ、彼女にリモートアクセスを許可するよう説得しました。 それから6か月後、ランサムウェアの攻撃により同社は機能不全に陥り、数百万ドル規模の損害を被りました。
コールドチェーン・ギャングのランサムウェア戦略
Pluck社によると、コールドチェーン業界は「急速に追いつきつつある」ものの、サイバーセキュリティの成熟度には依然としてばらつきが見られます。 大企業は、防御体制を強化し、 のサイバー保険（）に加入し、事業継続計画を策定しました。 しかし、小規模な企業では、徹底した弁護を行うための人員や予算が不足していることがよくあります。
マウンドさんのアドバイスは？ まずは基本から始めましょう。
「MFA（多要素認証） は、非常に重要なものです」と彼は述べています。 「とはいえ、それを導入していない企業も見受けられます。」
また、マウンド社は、最小権限の原則や のゼロトラストポリシー（）を通じて第三者のアクセスを制限すること、ベースラインやセキュリティ情報イベント管理（SIEM）アラートを用いてユーザーの行動を監視すること、およびベンダーを のセキュリティコンプライアンス（ ）に基づいて審査した上で、導入を行うことの重要性を強調しています。 「外部業者について、また彼らが自社のネットワーク内で何を行っているのかを知っておく必要があります」と彼は述べています。
[関連記事：DORAとは？ EUの規制基準が、デジタル攻撃や事業中断への対応能力にどのように重点を置いているかについてご説明します]
プラックは、即興よりも準備を重視しています。 同氏は、紙媒体によるバックアップを維持し、基本的なクラウドベースのフェイルオーバーシステムを構築するとともに、 危機が発生する前に、インシデント対応プレイブック （災害復旧の役割が明確に割り当てられたもの）を更新しておくことを推奨しています。
「攻撃を受けてから、誰が何をすべきかを決めようとしてはいけません」と彼は言います。 「今日、そのことを知っておく必要があります。」 また、彼は、攻撃が発生した際には、企業がサプライチェーンのパートナーと迅速に連絡を取るよう求めています。 「世間に公表したくないかもしれませんが、サプライヤーには必ずお伝えください。」 「彼らは助けになるでしょうし、彼らが被害に遭った時には、あなたも助けになることができます。」
「一貫性のある継続的な従業員研修 は依然として不可欠です」と、プラック氏は付け加えています。
「やはり、人間こそが弱点なのです」と彼は言います。 「しかし、失ったデータが1日分だけで、システムのバックアップも取れているのであれば、すでに勝っているも同然です。」
英国、欧州、そして米国におけるコールドチェーンの今後の危機
これまでのところ、欧州のコールドチェーンは壊滅的な崩壊を免れています。 また、米国ではこれまでのところ、コールドチェーンに対する攻撃は散発的なものに留まっています。 For example, last June, a cyberattack against United Natural Foods (UNFI) disrupted deliveries to grocers like Whole Foods and cost the company more than $350 million.
「私たちは英国の食料の半分以上、そして重要な医薬品の5分の1を配送していますが、重要な国家インフラとして認識されていません。」摘み取る
こうした攻撃は、買い物客にとっては些細な出来事のように思えるかもしれませんが、専門家たちは、世界規模であれ米国国内であれ、複数の食品や製薬企業に対する組織的な攻撃が、より深刻な危機を引き起こす可能性があると警告しています。
「棚が空になると、消費者の反応は素早いものです」とプラック氏は述べています。 「パンデミックの最中に、その様子を目の当たりにしました。」 「違いは、今回は一時的なものではないかもしれないということです。」
[関連記事：DORAの全貌――金融サービス企業が、コンプライアンス要件に対応しつつ、効率性、俊敏性、そして強化されたセキュリティを兼ね備えた包括的なソリューションをどのように導入できるか]
では、政府についてはどうでしょうか？
「彼らは聞いていない」と彼は警告します。 「私たちは英国の食料の半分以上、そして重要な医薬品の5分の1を配送していますが、 重要な国家インフラとして 認定されていません。」 「手遅れになる前に、その状況を変えなければなりません。」 これに対し、米国では、食品・医薬品の供給を確保する上でコールドチェーン物流が果たす重要な役割を認識し、これを「食品・農業」の重要インフラ分野の一部として位置づけています。
経験を通じて培われる回復力には、一筋の希望が宿っています。 「攻撃を乗り切った企業は、『より強く、より万全な備えを整え、より回復力のある』姿で立ち直るのです」とプラック氏は述べています。 しかし、その知恵には代償が伴います。
「まだ攻撃を受けていない人たちは、依然としてコストを障壁として捉えていることが多いのです」と彼は言います。 「しかし、本当の代償は、準備ができていないことにあるのです。」
