｜ 設備の保守点検は、故障を防ぐだけで十分なのか
施設や建物の設備管理というと、定期点検や部品交換、経年劣化への対応などを思い浮かべる方が多いのではないでしょうか。

しかし、設備がネットワークにつながり、遠隔から監視・制御できるようになった今、設備管理にはもう一つ、見過ごせないリスクが生まれています。

それが、サイバー攻撃によって設備そのものが不正に操作されるリスクです。

2026年10月、フランスの複数のスーパーマーケットで、冷凍・冷蔵設備を狙った大規模なサイバー攻撃が発生しました。

報道によると、攻撃を受けた設備では温度が最大50℃まで上昇し、食品の廃棄や火災が発生。大手スーパーのカルフールなども被害を受け、フランス全体の損失は数千万ユーロ規模になるとの見方が報じられています。

この事件が示しているのは、サイバー攻撃が情報漏えいやデータの破壊にとどまらず、現実の設備を動かし、事業活動や社会の流通にまで影響を及ぼす可能性があるということです。

では、私たちが管理する施設や建物の設備は、本当に安全なのでしょうか。

｜冷凍・冷蔵設備への攻撃で何が起きたのか
今回の事件では、スーパーの冷凍・冷蔵設備を管理するコントローラーが攻撃対象となりました。

これらの制御機器は、店内の冷蔵・冷凍設備の状態を管理するもので、保守会社などが遠隔から監視・調整できる仕組みも使われています。

報道によると、被害を受けた機器では古いファームウェアが使用されていました。
攻撃者は設備の制御を不正に操作し、冷却機能に影響する設定を変更。
食品を保管する設備の温度が上昇し、大量の食品廃棄などにつながったとされています。

フランスのサイバーセキュリティ当局CERT-FRも、冷凍・冷蔵設備の遠隔制御機器が侵害された事例を公表しています。対象には、デンマークのダンフォス社の製品だけでなく、CopelandやDixellの関連機器も含まれています。

当局は、管理画面をインターネットに直接公開することは適切なセキュリティ対策とはいえないと指摘し、インターネットからの露出をなくすこと、安全なVPNや保護されたネットワーク経由でアクセスすること、ファームウェアの更新などを推奨しています。

この事件を、単に「海外のスーパーで起きた特殊な事故」と捉えるべきではありません。

設備がネットワークにつながり、遠隔操作できる環境にあるならば、同じ種類のリスクは、工場や倉庫、商業施設、オフィスビルなどでも検討する必要があります。

｜リスクがあるのは冷凍・冷蔵設備だけではない
建物や施設には、日常の運営を支えるさまざまな設備があります。

• 空調・換気設備
• 受変電設備や電力監視システム
• 給排水・ポンプ設備
• エレベーターや入退室管理システム
• 防災・監視設備
• 工場の生産設備や制御システム
• エネルギー管理システム

これらすべてが同じ方法で攻撃されるわけではありません。
しかし、ネットワーク接続や遠隔制御を利用している設備では、セキュリティ上の問題が設備の停止や誤作動につながる可能性があります。

例えば、空調設備が停止すれば、施設の利用環境や保管品に影響が出ることがあります。

工場の制御設備が不正に操作されれば、生産停止だけでなく、製品品質や作業者の安全に関わる事態も考えられます。

また、入退室管理や監視設備が利用できなくなれば、施設の防犯体制にも影響するでしょう。

重要なのは、サイバー攻撃をIT部門だけの問題として扱わないことです。

設備の停止や誤作動が、事業継続、安全、品質、利用者へのサービスにどのような影響を与えるのか。設備管理の視点から考える必要があります。

｜古い設備を使い続けることのリスク
今回の事件では、影響を受けた機器で古いファームウェアが使用されていたことが報じられています。

ダンフォス社は、サポート対象のシステムについて最新のファームウェアを適用することや、旧世代のシステムから現行世代の製品へ移行することを顧客に推奨してきたと説明しています。同社は過去にも、制御機器の脆弱性とソフトウェア更新の必要性を公表しています。

設備管理の現場では、機器が正常に動作していれば、すぐに更新や交換を行う必要はないと判断されることもあります。

特に、建物設備や工場設備は長期間使用されることが多く、導入から十数年が経過した機器が稼働しているケースもあります。更新には費用がかかり、停止できる時間にも制約があるため、簡単には交換できない事情もあるでしょう。

しかし、設備が動いていることと、安全に使い続けられることは同じではありません。

機器のソフトウェアが古く、脆弱性が修正されていない場合、外部から不正にアクセスされるリスクが残ることがあります。さらに、メーカーのサポートが終了していれば、新たな脆弱性が見つかっても修正プログラムが提供されない可能性があります。

設備管理では、物理的な劣化や故障の兆候だけでなく、
次のような点も確認しておくことが重要です。

• 設備や制御機器の型式、ソフトウェアのバージョンを把握しているか
• メーカーのサポート期間や保守契約の終了時期を把握しているか
• セキュリティ上の注意喚起や更新情報を確認する担当者が決まっているか
• 更新が必要な場合、実施時期や費用、停止時間を含めた対応計画があるか

古い設備をすべて直ちに交換することが現実的とは限りません。
だからこそ、使用中の機器の状態と残っているリスクを把握し、優先順位をつけて対応することが大切です。

｜メーカーだけの問題なのか。利用者側にも求められる管理
設備の脆弱性が原因でサイバー攻撃が発生した場合、メーカーの責任はどこまで問われるのでしょうか。

今回の事件については、公開されている情報だけで、メーカーの法的責任があるかどうかを断定することはできません。製品の設計や脆弱性への対応、顧客への通知、契約上の責任など、個別の事実を確認する必要があります。

仮にメーカーが脆弱性を認識しながら適切な情報提供や対応を行っていなかった場合には、その対応が問われる可能性があります。

一方で、サポート終了や更新の必要性が通知されていた場合には、設備を保有・運用する側が、その情報をどのように管理し、必要な対策を講じていたかも重要な論点になります。

設備のセキュリティは、メーカーだけで完結するものではありません。

設備の所有者、施設管理者、保守会社、システムを構築した事業者など、複数の関係者が関わります。誰が機器を管理し、誰が更新情報を確認し、誰が対策を実施するのか。その役割が曖昧であれば、必要な対応が行われないまま設備が使われ続ける可能性があります。

例えば、メーカーから更新の案内が届いていても、施設管理の担当者に共有されていなければ対応は進みません。保守会社が設備を管理していても、所有者が更新費用や停止時間の判断を行わなければ、対策を実施できない場合もあります。

リスクを把握すること、関係者へ共有すること、対応を決めて実施すること。この一連の流れを管理できているかが問われます。

｜これからの設備管理で見直したい5つのこと
今回の事件を教訓として、施設や建物の設備管理では、次の5つの観点から点検・保守の体制を見直すことが考えられます。

① 管理対象の設備を把握する
まずは、施設内にどのような設備や制御機器があり、どのネットワークに接続されているのかを把握します。
型式、設置場所、導入時期、ソフトウェアのバージョン、保守会社、サポート状況などを整理しておけば、注意喚起が出た際にも対象設備を特定しやすくなります。

② 更新情報とサポート状況を確認する
メーカーのセキュリティ情報や更新プログラム、サポート終了の案内を定期的に確認する仕組みを整えます。
更新を実施できない事情がある場合も、未対応の理由や代替策、次回の対応予定を記録し、放置しないことが重要です。

③ 遠隔アクセスの設定を見直す
遠隔監視や遠隔保守は、業務の効率化に役立つ一方、設定によっては外部からの侵入経路になる可能性があります。
管理画面をインターネットに直接公開しないこと、安全なVPNや適切に保護されたネットワークを利用すること、初期パスワードを変更することなど、機器メーカーや専門家の推奨する対策を確認します。
ただし、接続を遮断すると保守監視に影響する場合もあります。現場の運用や契約を確認したうえで、安全性と業務継続の両面から対策を決める必要があります。

④ 点検・保守の履歴を残す
いつ、誰が、どの設備を点検し、どのような異常やリスクを確認したのか。更新や修正を行った場合は、何を、いつ、どのように対応したのか。
こうした情報を記録し、関係者が確認できる状態にしておくことが重要です。
記録が担当者の手元や個別のファイルに分散していると、担当者の交代時やトラブル発生時に、過去の対応状況を追えなくなることがあります。
点検記録は、実施した作業の証明だけではありません。設備の状態や未対応の課題を把握し、次の対応につなげるための管理情報でもあります。

⑤ 異常が起きたときの対応を決めておく
設備が不正に操作された疑いがある場合、誰が異常を検知し、誰に連絡し、設備をどのように安全な状態へ移行するのか。事前に役割と手順を整理しておきます。
設備の停止が人命や事業継続に影響する場合には、現場の安全確保や代替手段も含めて検討する必要があります。
緊急時に担当者が判断に迷わないよう、連絡先、初動対応、復旧の判断基準を明確にし、必要に応じて訓練や手順の見直しを行うことが大切です。

｜  設備管理は「点検して終わり」ではない
設備の保守点検では、異常がないかを確認し、必要な修理や交換を行います。しかし、設備を取り巻くリスクが変化する今、点検して異常がなかったという結果だけでは、十分とはいえない場面が増えています。

設備のソフトウェアは適切な状態か。メーカーのサポートは継続しているか。遠隔アクセスは安全に管理されているか。指摘された課題は対応済みなのか。それとも未対応のまま残っているのか。

こうした情報も含めて管理しなければ、リスクを認識していても、具体的な対策につながらない可能性があります。

また、設備管理は一人の担当者だけで完結するものではありません。施設管理者、保守会社、設備メーカー、情報システム担当者などが、それぞれの役割を果たしながら情報を共有することが求められます。

そのためには、点検結果や写真、指摘事項、対応履歴を整理し、必要なときに関係者が確認できる状態にしておくことが欠かせません。

これからの設備管理に必要なのは、設備を正常に動かし続けることだけでなく、設備に潜むリスクを把握し、対策の実施状況まで管理することです。

フランスのスーパーで起きたサイバー攻撃は、設備管理における新たな課題を浮き彫りにしました。

自社の施設や建物では、どの設備が使われ、どのようなリスクがあり、誰がその対応を管理しているのか。

この機会に、日常の保守点検や設備管理のあり方を見直してみてはいかがでしょうか。