2026年10月、フランス各地のスーパーで冷凍設備が遠隔で操作され、庫内の温度が最高50℃まで上がったと報じられました。国内でも10月には、アプリの通信先のサーバーが攻撃され、会員情報が漏れる被害が相次ぎました。メーカーが出荷したIoT機器やロボットにも、管理画面やアプリから遠隔で操作できるものが少なくありません。出荷した製品の異変にどう気づき、誰が判断するのか。自動車業界の監視の考え方をもとに解説します。
このブログのポイント
- 管理画面や保守用の接続など、外から操作できる入り口を破られると、つながった機器も攻撃者に遠隔で操作されます（例：フランスのスーパーの冷凍設備）。
- 脆弱性の修正は欠かせませんが、修正が済むまでには時間がかかります。盗まれた正規のIDを使った操作は、脆弱性を修正しても防ぎきれません。
- 出荷した後も製品を監視し、異変に早く気づく仕組みが必要です。
- EUのサイバーレジリエンス法（CRA）は2026年9月から、悪用された脆弱性を把握したら24時間以内に報告するよう、製品メーカーに義務づけました。異変に気づけなければ、報告もできません。
- AIで攻撃は速くなり、人手だけの監視では追いつきにくくなっています。異変を見つけ、調べる対象を絞り込むところまでは仕組みに任せられます。
- 機器を止めるか、報告するかを決めるのは人です。何が起きたか、どの機器の何台に及ぶか、いつからかといった判断の材料を、判断する人にすぐ届ける体制を平時に整えておく必要があります。
冷凍庫が50℃に
2026年10月11日の深夜、フランス各地のスーパーで、冷蔵・冷凍設備の温度が上がり始めました。
報道によると、攻撃者は庫内の霜を溶かす「霜取り」の機能を遠隔で動かし、温度を50℃に設定しました。霜取りの時間も1時間から8時間に延ばし、温度の異常を知らせる警報が鳴るのも遅らせていたと伝えられています。ロイター通信によると、大手チェーンの一つでは約150店の設備で庫内が6時間にわたって最高50℃まで上がり、商品が廃棄されました。出火した店もありました。
フランスのサイバーセキュリティ当局（ANSSI）傘下のCERT-FRは12日、冷蔵設備の制御装置が多数乗っ取られているとして注意を呼びかけました。欧州の数か国でも被害が出たとみられ、パリの検察が捜査しています。11月初めの時点で、侵入の経路は公表されておらず、犯人も目的も分かっていません。
乗っ取られた制御装置の多くは、メーカーがセキュリティの更新をやめた古い機種だったと報じられています。保守業者が遠隔で設定を変えられるよう、インターネットにつながっていたものもあったとされます。メーカーは2025年に脆弱性を修正し、更新を呼びかけていました。今回の攻撃に使われたかどうかは分かっていません。
漏れたIDが機器を動かす鍵に
10月には、会員情報の漏えいを公表する企業が国内で相次ぎました。情報通信研究機構（NICT）は10月13日、原因の一つに「A2B（App-to-Backend）攻撃」を挙げました。誰でも入手できるアプリを解析して通信先のサーバーを突き止め、サーバー側の不備を突く手口です。VicOneの親会社のトレンドマイクロは、約100億円規模の緊急支援策を打ち出しました。
フランスの冷凍設備と国内の漏えいは別々の出来事ですが、外から届く窓口が狙われた点では共通しています。IoT機器やロボットにも、管理画面やアプリから設定を変え、遠隔で操作できるものが少なくありません。漏れたIDとパスワードは、機器を動かす鍵にもなりえます。
2024年5月には米国で、家庭のロボット掃除機が何者かに遠隔で操られ、スピーカーから人種差別的な言葉を流したり、飼い犬を追い回したりしました。メーカーは被害を受けた男性に、ほかのサービスから漏れたIDとパスワードが使い回され、アカウントに入られた可能性が高いと説明しました。
長く使う機器、修正に時間
脆弱性を塞ぐのが対策の基本です。古い機器もまずは更新し、更新できなければネットから切り離すか、接続できる相手を絞ります。CERT-FRもフランスの事件を受けて、制御装置をネットから切り離すか、接続先を制限するよう呼びかけました。
ただ、塞ぐ対策には限界があります。現場の機器は、更新の前に動作を確かめ、止める時間を調整しなければなりません。10年以上使い続ける機器も珍しくなく、修正が届くまで、あるいは入れ替えるまでには時間がかかります。正規のIDで入り、正規の機能を使う攻撃には、塞ぐべき穴もほとんどありません。
攻撃は速くなっています。NICTは、アプリの解析や弱点探しをAIが肩代わりできると指摘しました。英国の国家サイバーセキュリティセンター（NCSC）も、AIの普及で、技術の乏しい者でも攻撃に加わりやすくなるとみています。米グーグル傘下のマンディアントが2026年に出した報告書によると、侵入した攻撃者が、確保した侵入口を別のグループに引き渡すまでの時間は、2022年の8時間超から22秒に縮みました。
出荷した製品が何万台にもなれば、警報を人が1件ずつ確かめることはできません。攻撃が動き出したことに気づき、調べるべきものを絞り込む仕組みが要ります。
CRA、把握から24時間で報告
自動車業界は、つながる製品の監視に早くから取り組んできました。国連の規則「UN-R155」は、自動車メーカーに対し、販売後の車両へのサイバー攻撃を監視し、検知して対応する体制を求めています。日本では2022年7月以降の新型車から適用されています。
IoT機器やロボットでも、監視を求める規制が整いつつあります。EUのCRAは2026年9月11日から、ネットにつながる製品のメーカーに報告の義務を課しました。製品の脆弱性が悪用されたことなどを把握した場合、24時間以内に早期警告を、72時間以内に通知を出さなければなりません。市場に出ている製品も対象です。ロボットなどの機械には、2027年1月からEUの機械規則も適用され、外から悪意を持って操作されないための備えが求められます。
期限は「把握してから」数えます。異変に気づけなければ、報告もできません。
分野ごとに監視と検証の製品
VicOneは、出荷した製品の監視と、脆弱性の管理や出荷前の検証を、分野ごとの製品で提供しています。モビリティ向けには、監視の基盤「xNexus」と、脆弱性を管理する「xZETA」があります。AI・ロボティクス向けには、稼働中のロボットを監視する「Rthena（アテナ）」と、出荷前に検証する「Radeis（レディス）」があります。以下では、自動車メーカーの車両監視で実績を積んだxNexusとxZETAを例に、監視の仕組みを紹介します。xNexusの分析には、トレンドマイクロが企業のIT監視で培ってきた技術を生かしています。
稼働データで異常を探す
機器に専用のセンサーを組み込まなくても、監視は始められます。xNexusは、機器から届く稼働データでいつもの値をAIに学ばせ、専門家のルールと組み合わせて、普段と違う動きを見つけます。稼働データから異常を見つける考え方をフランスの事件に当てはめれば、真夜中に多くの店で一斉に始まり、いつもの何倍も続いた霜取りが、見つけるべき異常にあたります。
サーバーの記録と突き合わせ
漏れたIDで管理画面に入り、機器の設定を書き換え、現場で機器の動きが変わる。一つひとつの段階は、クラウドの記録では正規の利用者の操作に、機器の側では正規の指示に見えます。別々に見ていては、一つの攻撃としてつながりません。
xNexusは、機器のデータと、機器の管理や更新、遠隔操作を担うサーバーのログを一つの基盤に集めます。時系列に並べ、一連の動きとして確かめることができます。機器とサーバーをつなぐAPI（ソフトウェア同士の接続口）の通信も監視します。APIの安全性を専門とする企業と組み、仕様に潜む脆弱性も洗い出します。
社内のITやクラウドの監視は、親会社のトレンドマイクロが長く手がけてきた分野です。出荷した製品とつながるサーバーをVicOneが受け持ち、グループで攻撃の入り口から現場の機器までを見ます。
部品表から影響機器を特定
VicOneの「xZETA」は、製品に組み込まれたソフトウェアの部品表（SBOM）から脆弱性を洗い出して管理します。xNexusと連携させれば、どの機器の、どの部品に、どの脆弱性があるかが分かります。新しい脆弱性が公表されたときに影響を受ける機器をすぐに特定でき、修正が済んでいない機器の異変は優先して調べられます。CRAが報告を求める「実際に悪用された脆弱性」は、脆弱性の管理と監視がそろって初めてつかめます。
3段階で絞り込み、通知
xNexusは、検知した出来事を、攻撃のシナリオ、影響の大きさ、VicOneが集めてきた脅威情報の3段階で絞り込み、通知します。異変の前後の記録は時系列で確かめることができ、週次・年次のレポートも自動で作成されます。生成AIの機能を使えば、「優先して対応すべきインシデントは」と日本語で尋ねることもできます。自動車では、車両に組み込んだセンサーと組み合わせ、出来事をつないで攻撃と判定し、侵入の経路と影響の範囲を図で示す仕組みも提供しています。
約2か月の検証
本格導入の前に約2か月の検証（PoC）を行い、自社のデータから何が見え、何が足りないかを確かめることができます。足りないデータが分かれば、次の製品で残すべき記録も見えてきます。本格導入では、機器ごとに異なるログの形式をそろえる作業を、VicOneとメーカーが共同で進めます。
ロボット向けにRthenaとRadeis
AI・ロボティクス向けでは、xNexusに対応するのがRthena、xZETAに対応するのがRadeisです。どちらも、サイバー攻撃がロボットの動きにどう影響するかに目を向けます。Radeisは出荷前に、ロボットのソフトウェアやファームウェア、AIモデルなどを分析し、攻撃がロボットの動きにどこまで影響するかを、シミュレーションの環境で確かめます。Rthenaは稼働中のロボットについて、ロボット本体のほか、つながるシステムやクラウドから届く信号を突き合わせ、攻撃が動きに影響していないかを評価します。あらかじめ承認された対処を、提案したり実行したりします。
止めるか、報告するか
機器を止めるか、当局に報告するか、公表するかを決めるのは人です。稼働中のロボットや機械を自動で止めれば、止めたこと自体が事故やラインの停止につながりかねません。仕組みが普段と違う動きを見つけても、攻撃か、予定された保守の作業かを見分けるには、保守の予定を知る現場の人の確認が要ります。
人が判断するには、必要な情報が間に合うように届かなければなりません。フランスの事件では、攻撃者が温度の異常を知らせる警報を遅らせていたと報じられています。知らせが遅れれば、人は手を打てません。
判断する人には、次のような情報を届けなければなりません。何が起きたのか、どの機器の何台に及ぶのか、既知の脆弱性と関係があるのか、故障なのか攻撃なのか、いつから続いているのか。
組織の継ぎ目も課題です。社内のITは情報システム部門、工場の設備は生産技術部門、出荷した製品は品質保証や製品セキュリティの部門と、担当も予算も分かれている企業は少なくありません。知らせが部署の境目で止まれば、判断は遅れます。監視の運用は専門の事業者（MSSP）に委託することもできますが、最終的な判断までは任せられません。
平時のうちに、次の点を決めておきたいところです。
〈1〉仕組みに任せる範囲と、人が判断する範囲
〈2〉異変の知らせを、誰が受け、誰が判断するか（夜間・休日を含む）
〈3〉規制当局や取引先に、いつ、誰が報告するか
〈4〉利用者や社会に、いつ、どのように公表するか
記者として、企業の不祥事を長く取材してきました。被害そのものより、初動の遅れや説明の誤りで信用を落とした企業を、数多く見てきました。
まとめ
出荷した製品の異変には、持ち主より先にメーカーが気づかなければなりません。AIで攻撃が速くなるなか、異変に気づき、調べるべきものを絞り込むところまでは機械に任せられます。機器を止めるか、報告するかを決めるのは人です。判断に要る情報が間に合うように届く体制を、平時のうちに整えておく必要があります。
フランスの大手チェーンでは、約150店で商品が廃棄されたと報じられています。警報が鳴る前に異変に気づけるかどうかが、被害の大きさを左右します。
出荷した製品の監視と脆弱性の管理、出荷前の検証には、モビリティ向けのxNexusとxZETA、AI・ロボティクス向けのRthenaとRadeisを用意しています。VicOneまでお問い合わせください。