セキュリティ
止まったのは Ahold Delhaize のウェブサイトだけではなく、物流センターだった。フランスでは冷凍ケースが逆方向に動いた
Ahold Delhaize は月曜朝、ネットワーク上のセキュリティ問題を公表した。その時点ですでに Albert Heijn の複数の物流センターで作業が止まり、米国では従業員がシフト表にアクセスできなくなっていた。同じ週末、フランスでは数百店舗の冷蔵・冷凍ケースが遠隔操作で昇温させられた。無関係な二つの事案が、いずれも顧客データベースを素通りして食品そのものを狙った形になっている。
MAI
Ahold Delhaize は月曜のアムステルダム時間 8 時 29 分、「自社ネットワーク内でセキュリティ問題が発生している」と市場に伝えた。各チームが影響を評価し緩和に当たっており、その一環として一部システムをオフラインにしたという。声明は数文にとどまり、EU 市場阻害行為規則（MAR）第 7 条 1 項にいうインサイダー情報を含むとの注記が付いていた。それが出た時点で、Albert Heijn の複数の物流センターでは作業がすでに止まっていた。
この順序こそが問題の核心である。小売業者のウェブサイトとアプリが落ちることは目に見える部分で、記事になるのもそこだ。だが最終的な損害額を決めるのは、日曜の夜にトラックが動かなくなったという事実である。
止まっているもの
| 市場 | ブランド | 影響 |
|---|---|---|
| オランダ | Albert Heijn、Etos、Gall & Gall | ウェブサイト、アプリ、ロイヤルティプログラム、オンライン注文が利用不能。棚の値札は先週の価格を表示したまま |
| ベルギー | Delhaize | ウェブサイトとアプリに影響 |
| 米国 | Food Lion、Hannaford、Stop & Shop、Giant Food、The Giant Company | 従業員がシフト表と給与明細にアクセスできず。Food Lion の社内連絡は、店舗のピッキング・仕分け・受け渡しが止まりうる IT 障害だと説明 |
| 物流 | Albert Heijn の物流センター | 複数拠点で作業停止。RTL Z が入手した取引先宛メールによれば稼働を続けていたのはザーンダム拠点のみで、納品はそこへ事前予約枠で行うよう要請された |
Ahold Delhaize は欧州、米国、インドネシアで 9,400 店舗超を運営している。Albert Heijn は顧客に対し、商品の在庫状況は納品次第で店舗ごとに異なり、常温保存品は比較的確保できる見込みだが、生鮮の果物と野菜が弱点だと説明した。復旧の時期は示していない。株価はユーロネクスト・アムステルダムで 3.15% 下落し 31.38 ユーロで引け、52 週安値の 30.335 ユーロに接近した。3 月に付けた最高値 42.54 ユーロからは大きく離れている。
攻撃を名乗り出た者はおらず、同社も暗号化や情報の持ち出しがあったかどうかを明らかにしていない。Ahold Delhaize が前回インシデントを公表したのは 2024 年 11 月で、INC Ransom が犯行を主張し、米国事業の 220 万人超の個人情報・財務情報・健康情報が流出した。今回は性質が異なる。データ侵害は事後に判明し、何年も訴訟が続く。一方、倉庫管理、取引先向けスケジューリング、人事労務システムが落ちる障害は、その日の午後から事業を劣化させ、補充作業を手作業で回している間ずっと劣化させ続ける。
フランス、同じ業界、別のレイヤー
これとは別に、そして両者が関係しているとの示唆はないが、10 月 11 日から 12 日にかけての夜、フランスのスーパーマーケットでは遠隔管理されている冷凍・冷蔵制御機器の設定温度が攻撃者によって書き換えられた。BFM Business は Intermarché の約 150 店舗が影響を受けたと報じている。Coopérative U の最高経営責任者 Dominique Schelcher は自社が被害を受けたことを公に認め、前例のない攻撃だと述べた。Carrefour Market、Monoprix、E.Leclerc の店舗従業員も同様の現象を報告しているが、これらのチェーンはコメントしていない。本来は −20°C 前後であるべき冷凍ケースが氷点をはるかに上回る温度まで押し上げられ、社内の初期見積もりでは 1 店舗あたり数十万ユーロに達する損失も出ているとされる。
関係する機器は Danfoss 製である。8 月、Claroty の Team82 は Danfoss AK-SM 800A 冷凍システムマネージャーに関する調査を公開し、認証の弱点、コマンドインジェクションの問題、ウェブサーバー設定に関する欠陥を取り上げた。CVE-2025-41450、CVE-2025-41451、CVE-2025-41452 である。Danfoss は修正済みファームウェアを提供した。Claroty はまた、これらの管理インターフェースのうち 2,765 台がインターネットから到達可能であるという Censys のスキャン結果を引用している。フランスの事案でこれらの欠陥が使われたかどうかは不明で、立証された事実はない。
はっきりしているのは、露出の形である。冷凍システムマネージャーは、食品小売チェーンのセキュリティチームが資産台帳に載せるような機器ではない。店舗の内装工事とともに購入され、冷熱設備業者が設置し、その業者が保守できるようグローバル IP を与えられ、そのまま 10 年放置される。しかもそれは、自身が動いているサーバーより高価な在庫に対して、物理的な権限を直接持っている。
ここから持ち帰るもの
一つの週末に二つの国で、二つの異なるレイヤーで起きた二件。どちらでも痛手になったのは顧客データベースではなかった。食品を動かす設備とシステムだった。
現場設備の側では、取るべき行動は地味で、すでに文書化されている。Danfoss AK-SM 800A を最新ファームウェアに更新し、冷熱設備とビル管理のインターフェースをインターネットから外し、セグメント化されたネットワーク上の VPN の背後に置くことだ。詳細はベンダーのアドバイザリにある。インターネットに面した制御機器に 2 か月前のパッチが当たっていないのは、事故ではなく判断の結果である。
全社システムの側では、今回の Ahold Delhaize の障害は、どのシステムなら手作業で回せるかを前もって決めておくべきだという生きた論拠になる。倉庫の納品枠予約、取引先への連絡、棚の価格表示、給与計算。これらは机上演習の対象になりにくい四つであり、そして今回目に見えて壊れた四つである。
Sources: Ahold Delhaize newsroom · BleepingComputer · NL Times · RetailDetail EU · Help Net Security · Je bosse en grande distribution · Claroty Team82