軍の食料品店の冷凍庫がハッキングされたと思います

2026年8月31日原文(signalandsilence.substack.com)

概要

2026年8月下旬、全米の複数軍基地で 冷蔵・冷凍設備の同時障害 が発生
障害は DeCA管轄の軍用スーパー（commissary） で発生し、複数メディアが報道
原因は 設備の老朽化かネットワーク関連の問題、サイバー攻撃の可能性も議論
中央監視・制御システム（RMCS） が冷凍庫の動作を遠隔制御している事実が判明
サイバーセキュリティ上の脆弱性 が指摘され、今後の影響が懸念

米軍基地で発生した冷蔵・冷凍設備障害の概要

2026年8月末、 Stars and Stripes や Military Times などが 複数軍基地での冷蔵障害 を独自報道
国防総省（Pentagon） も「複数DeCA commissaryでの冷蔵障害の可能性」を公式に認める
少なくとも 6カ所以上の基地で同時多発的に障害 が公式確認され、 他にも複数の独立報告 あり
障害発生箇所は Fort Huachuca、F.E. Warren AFB、Fort Irwin、Columbus AFB、Naval Station Newport、Travis AFB、NAS Lemoore、Port Hueneme、Dyess AFB など
一部基地では 障害復旧済み だが、 全冷蔵・冷凍食品の廃棄 や 棚の空白状態 が広がる

障害発生の経緯と現場の反応

SNSやコミュニティ投稿 で「冷蔵・冷凍コーナー全滅」の報告が相次ぐ
Fort Huachuca 公式Facebookでは「夜間の機器障害で全冷凍庫が 解凍モード に入り食品が加熱された」と説明
- 「停電ではなく、 ネットワーク問題 の可能性」との非公式コメントも
DeCA（Defense Commissary Agency） が各基地のcommissaryを一括運営しており、 遠隔監視・制御システム（RMCS） で設備管理
RMCS は冷蔵庫の解凍モード制御やアラーム監視を リモートで実施、 中央マスターコントロール も存在
ただし「 本部から一斉に全店舗の解凍モードを操作できる」証拠は不明

サイバー脆弱性と技術的背景

Claroty’s Team82 が2026年8月に発表した調査で、 Danfoss AK-SM 800A や Copeland XWEB Pro などの商用冷蔵制御機器に 深刻な脆弱性 が存在と指摘
- Danfoss AK-SM はDeCA設備リストにも記載あり
- Copeland XWEB Pro も23件の脆弱性（21件が高危険度）を報告
- これらの機器をハッキングし、 物理的に解凍モードや温度操作が可能
Copeland社 は「Webインターフェースをインターネットに公開しないよう」警告
ただし、 現時点でサイバー攻撃による障害と断定できる証拠は無し
- 共通ソフトウェア不具合、設定ミス、通信障害、老朽化 など他の要因も考えられる

今後の懸念と論点

冷蔵・冷凍設備のネットワーク化 による新たなリスクの顕在化
軍用施設インフラのサイバーセキュリティ強化 の必要性
障害の真因究明 と再発防止策の策定
食料廃棄や供給停止 による軍人・家族への影響拡大
今後の公式発表や追加調査 への注目

Hackerたちの意見

シングルソースのシステムプロバイダーとインテグレーター、そして「終末日」？ハッキングか設計ミスかもしれないね。原因分析を待ってるよ。

著者はハッキングだとは言ってないけど、可能性があるって言ってるね。でも、もっと明らかな質問をする前に、ハッキングの可能性に突っ走ってる気がする。「軍には冷蔵庫がどれだけあるの？」ってことだよね。その中で問題があるのはどれくらい？著者も認めてるけど、1日に数台の問題は普通のメンテナンスの範囲内だと思う。もしハッキングなら、50%くらいの冷蔵庫が問題を抱えてると思うけど、数がわからないから、これらの事件がどれほど重要かはわからないな。

└

明らかなサボタージュはすぐに対処されるだろうけど、微妙なサボタージュは永遠に続くかもしれないね。

└

記事には、これが14の基地で同時に起こったって書いてあったよ。

└

冷蔵庫に影響する脆弱性が公表されたその日に、14台の冷蔵庫が異常な方法で故障したから、彼らはその道を突き進んでるんだよね。全部が解凍サイクルをオンにして、食べ物を温めちゃった。問題は、著者が最初にいくつかの簡潔な要点をまとめておくべきだったってことだね。（14台の冷凍庫が同時に故障した。全部インターネットで制御されてて、脆弱性の公表と同時に故障した。みんな解凍サイクルをオンにして、食べ物を温めた。）記事を最後までざっと読むことを本当におすすめするよ。（残念ながら、記事は本当に冗長で、ほぼ愚痴みたいになってる。）

これはアメリカ以外のコメッサリーの場所にとっては大きな問題になるだろうけど、リストにはどれも載ってないみたい。非常に若い兵士たちはお金がほとんどない（約2400ドル/月）から、コメッサリーの安い価格はかなり助かるんだよね。アメリカでは、通常は手頃なオフベースの選択肢があるけど、海外では場所による。多くの場所は遠隔地だったり、地元の食料品がかなり高かったりするからね。

数年前、Siemens S7-1500 PLCと通信しなきゃいけないサービスに関わったことがあるんだけど、そのプロジェクトの経験から最近読んだ無防備な産業PLCについては驚かないよ。初めてSiemens TIA PortalとPLCSIMを開いた時、「え、Windows 95のGUIライブラリがまだサポートされてるなんて思わなかった」って思った。雇ったPLCの契約者たちは、TLSを有効にする方法を知らなかった（ユーザー名/パスワードはいつもadmin/adminだった）。余談だけど、実際のCAに署名されたSSL証明書を受け入れさせるために、数時間ドキュメントを読みながらクリックしてたけど、全然ダメだった。でも、自分でopensslで自己署名した証明書は受け入れたんだよね。正直なところ、Siemens PLCプログラミングの専門家はだいたい機械系のエンジニアで、セキュリティは彼らのスキルセットには入ってないし、考えてもいないと思う。

└

こういう機器における業界の期待ってこれじゃないの？もし本物のCAに署名されてたら、証明書が期限切れになって通信できなくなることもあるよね。

└

知ってる工場のほとんどは、PLCがインターネットからアクセスできないようにしてるよ。通常は別のネットワークにあるんだ。ただ、「エンジニアリング」ステーション（例えばTIAポータルを動かしてるコンピュータ）は、時々アクセスできることもある。接触したPLCエンジニアたちは、だいたい電気工学のバックグラウンドを持ってたから、ラダー論理プログラミング言語やグラフェクトが好きなんだよね。ちょっと気取って構造化テキスト（アセンブリ風）や構造化制御言語（パスカル風）を使うこともあるけど。彼らはソフトウェアのセキュリティについてはあまり知らなかったけど、機械の安全性についてはかなり詳しかったよ。セキュリティの悪夢は、古いOPCサーバー（OPC-DA）で、DCOMに超依存してるんだ。OPCはPLCをSCADAシステムやサードパーティのデバイスに接続するのにかなり重要なんだよね。

└

tftpの仕組みを理解したとき、マシンがブートする際にネットワークに「誰かソフトウェア持ってない？」って聞くってことに衝撃を受けたよ。

└

公平に言えば、シーメンスのPLCプログラミングの専門家は、だいたい機械系のエンジニアで、セキュリティについてはあまり考えてないことが多い。スタックスネットの事件はもう10年以上前だし、PLCを理解できる人は「自分の機器はインターネットや外部ストレージに接続しない」というシンプルなルールを理解すべきだと思う。これが理解できない人は、もっと精神的に楽な仕事を探すように勧められるべきだね。

ファームウェアのバグを疑うね。もしくは無視された「サービス必要」タイマーかな。

Hacker Newsで議論の続きを見る

ハクソク