株式会社OVELは、欧州のスーパーマーケットで冷蔵・冷凍設備が遠隔操作され食品の大量廃棄が発生した事案を受け、「リモート保守セキュリティ研修」を無償で開催すると発表しました。設備を遠隔から監視・保守する経路におけるセキュリティリスクを整理し、設備を利用する企業および設備メーカー・保守事業者に向けて、確認すべきポイントやチェックリストを1社ごとの個別講義形式で提供します。
研修開催の背景と欧州における設備への遠隔操作事案
2026年10月、フランスのスーパーマーケット約700店において、冷蔵・冷凍設備が遠隔から不正に操作される事案が発生しました。この被害では、設備の霜取り機能が悪用されて設定温度が50℃まで引き上げられたほか、警報の発出も遅延させられたことにより、多くの店舗で食品の廃棄を余儀なくされました。さらに11月には、欧州7か国の100店舗超でも同様の被害が報じられています。
フランス国家情報システムセキュリティ庁（ANSSI）の長官による分析では、攻撃の原因は高度な技術によるものではなく、インターネットへの直接接続や脆弱なパスワードといった基本的な構成上の欠陥にあったとされています。旧型機や遠隔管理の脆弱性が残された設備が狙われた形となりました。
Mr.ガジェット欧州での事案は高度なゼロデイ攻撃ではなく、ネット接続やパスワード設定といった基本的な穴が原因だったとされています。
Ms.ガジェット正規の霜取り機能で50℃まで上げられて警報も遅らされた手口を聞くと、機器本来の機能が悪用される怖さを感じます。
遠隔保守経路に潜むリスクと国内設備への視点
OVELによると、国内で欧州と同じ事案による被害は確認されていません。国内大手が提供する遠隔保守サービスは、主にメーカーのクラウドを経由するシステム構成をとっています。しかし、外部から遠隔で設定を変更できる通信経路が存在する構造そのものは欧州と同様です。OVELは、国内においてはクラウドや保守事業者が保有するアカウントが攻撃の入口になりうると指摘しており、「同じ機種を導入していない」ことだけでは安全の根拠にならないとしています。
こうした遠隔からの監視・保守・設定変更の仕組みは、食品小売りの冷蔵・冷凍設備に限らず、空調、ビル設備、工場の生産設備など幅広いインフラや産業設備で用いられています。設備メーカーや保守事業者側においては、保守用アカウントが1つ突破された場合に、影響が複数の顧客設備へ同時に波及するリスクを抱えています。
さらに、設備の遠隔保守回線やクラウド接続環境は設備業者やメーカーが独自に構築・手配することが多く、ユーザー企業内のどの部門が管理主体であっても全体の接続経路を把握しにくいという運用上の課題が存在します。本研修は、経営層や取引先からのセキュリティ確認に対して、根拠を持って説明できる状態を整えることを目的としています。
Mr.ガジェット国内ではクラウド経由が主流とはいえ、遠隔で設定変更できる口がある以上、保守アカウントの管理状態が重要になってきます。
Ms.ガジェット自社に欧州と同じ機種がないから大丈夫、と簡単に片付けられない構造なのが気になるところです。
「リモート保守セキュリティ研修」の講義内容と特徴
本研修は所要時間約2時間の講義形式で、1社ごとに個別に実施されます。受講企業の事業形態や保有する設備環境に合わせて内容が調整されます。稼働中の設備を停止させられない環境を前提に、OT（制御システム）セキュリティを本業とする同社のエンジニアが講師を務め、現場で実地確認できるポイントに絞って講義が行われます。
講義で扱われる主なテーマは以下の通りです。
- 欧州事案の分析：霜取り機能の悪用、警報遅延の手口、旧型機や遠隔管理の脆弱性に被害が集中した要因
- 入口となりうるポイント：クラウド経由の監視・設定変更、保守事業者のリモート接続、アカウントおよびパスワード管理、サポート終了機器。冷蔵・冷凍設備のほか空調・ビル設備・工場設備に共通する接続構造
- 異常に気づく仕組みと停止時の備え：設定変更履歴の把握、制御系から独立した監視体制、夜間・休日の連絡フロー、手動運転への切り替え手順
- 設備利用企業の進め方：設備部門、保守事業者、経営層に対して確認・説明を行う順序と項目
- 設備メーカー・保守事業者の進め方：提供する遠隔保守経路の点検、保守用アカウントの管理基準、顧客からの問い合わせ対応準備
講義形式であるため、受講企業が自社の設備構成や弱点をその場で開示する必要はありません。他社と同席しない個別開催となっており、提供されるチェックリストのOVELへの提出も不要とされています。
提供資料と受講後の支援体制
研修の受講企業には、以下の資料一式が提供されます。
- 確認チェックリスト：設備利用企業向けには設備部門や保守事業者へそのまま確認できる質問形式、設備メーカー・保守事業者向けには自社の遠隔保守経路を点検する観点形式にまとめた資料（遠隔設定変更の経路、アカウント・パスワード管理、変更履歴、保守接続の承認・記録、サポート終了機器の有無など）
- 経営層への説明の骨子（1枚）：「現時点で分かっていること」「確認が必要なこと」「次に何をするか」を経営会議等で報告するためのひな形
- 研修資料一式
研修への参加が難しい企業に向けては、確認チェックリスト単体の無償配布も申込ページを通じて行われます。また、チェックリストによる点検後に「関係部門や保守事業者から回答が得られない」「現地を確認しないと判断がつかない」といった課題が生じた場合、無償での個別相談を受け付ける体制が用意されています。
より詳細な実地点検が必要な企業に対しては、OVELが2026年10月29日に提供を開始した有償サービス「サイバー弱点総点検」の利用も案内されています。このサービスでは、エンジニアが本社および主要拠点1か所を訪問し、設備の稼働を止めることなく所在確認、遠隔保守経路の特定、変更検知の仕組み、復旧手順の確認を実施します。調査結果は、経営層向けサマリーと情報システム・設備部門向けの詳細報告書として納品されます。
なお、本研修および弱点総点検は、企業が導入している既存のSOC・CSIRT、セキュリティベンダーのサービスや、保守事業者の定期点検契約を代替するものではなく、それぞれの管轄外になりがちな設備と保守回線の接続点、および部門間の連携ギャップを整理することを目的としています。
Mr.ガジェットチェックリストだけでなく、経営層への報告用骨子が用意されている点は社内調整を進める上で実用的な配慮といえます。
Ms.ガジェット研修に参加できない場合でも、チェックリスト単体を無償で取り寄せられるのは手始めの点検として助かります。
研修の開催概要
「リモート保守セキュリティ研修」の開催条件および対象範囲は以下の通りです。
| 項目 | 内容 |
|---|---|
| 研修名 | リモート保守セキュリティ研修 |
| 対象 | （1）工場・物流拠点・店舗・ビル等に遠隔監視・保守設備を持つ事業会社およびグループ会社の情報システム部門・セキュリティ統括部門（設備部門・品質保証部門の同席を推奨） （2）遠隔監視・保守の仕組みを提供する設備メーカー・保守事業者の製品セキュリティ部門・サービス／保守部門 |
| 想定業種の例 | 食品・飲料メーカー、食品小売業、低温物流・冷蔵倉庫事業者、製造業、ビル・施設の所有・管理会社、冷凍機・空調・ビル設備・産業機器のメーカー、設備の保守事業者 |
| 所要時間 | 約2時間 |
| 費用 | 無償（事前申込制） |
| 開催形式・日程 | 1社ごとの個別開催（日程は申込後に個別調整） |
| 提供物 | 確認チェックリスト、経営層への説明の骨子（1枚）、研修資料一式 |
| チェックリスト単体配布 | 無償配布（専用ページより請求可能） |
Ms.ガジェット設備を使う側とつくる側の両方が対象になっているので、自社の担当部署に合わせて日程調整できるか確認したいです。
- 本記事で使用している画像は、メディアユーザーとしてPR TIMESより提供されたプレスリリース素材を利用しています。
他社と同席せず自社の弱点を開示しなくていい講義形式なら、情シスや保守部門の方も参加しやすそうです。