米軍基地内の売店、いわゆる commissary で冷凍・冷蔵設備の異常が相次いだ、というかなり変わった話だ。最初は「また設備が古くて壊れただけでは」と見過ごされかけたが、複数の基地でほぼ同時期に似たトラブルが起きたことで、話は一気に不穏になる。元記事は、これを単なる故障ではなく、ネットワーク経由で制御される冷却設備への攻撃可能性まで含めて追っている。冗談めいた題材に見えるが、実際には食料廃棄だけでなく、軍の施設管理や制御システムの弱点が露わになりうる件だ。
元記事の出発点は、SNS上で断片的に流れてきた投稿だった。米軍基地の commissary で、冷蔵・冷凍コーナーが突然機能しなくなり、冷凍食品や冷蔵食品が撤去されたり、売り場ごと閉鎖されたりしているという。著者は最初、単発の珍しい故障だろうと思ったが、同じような話が別の基地からも次々に出てきたため、気になって掘り始めた。
著者が初回の公開時点で確認したのは、8月26日から27日にかけて少なくとも11州の14施設で起きた冷蔵・冷凍設備の障害報告だという。Fort Huachuca、F.E. Warren AFB、Fort Irwin、Columbus AFB、Naval Station Newport、Travis AFB、NAS Lemoore、Port Hueneme、Little Rock AFB、Dyess AFB、Holloman AFB、Robins AFB、McConnell AFB、Cannon AFB が挙げられている。その後、Fort Meade は通常営業だったとして外され、Camp Lejeune の通知も古いものだったと訂正された。Naval Station Newport は8月29日に復旧、NAS Lemoore と Dyess AFB もそれぞれ復旧の記述がある。
中でも著者が深掘りしたのが Fort Huachuca だ。基地の公式Facebookでは、夜間の機器故障で commissary の全 freezer が defrost mode に入り、中身が全部ダメになったと説明された。コメント欄では「停電ではないのか」「ただ止まっただけでは」といった反応が出たが、基地側は電源は落ちていないと返している。さらに、ある未確認のコメントで「ネットワークの問題では」と書かれていたことが、著者の関心を強く引いた。そこから著者は、DeCA（Defense Commissary Agency）が commissary を一括で運営しており、2026年3月の調達文書で Remote Monitoring Control System、つまり RMCS の管理支援を求めていたことを見つける。RMCS の仕様書には「Defrost shall be controlled through the RMCS」とあり、少なくとも冷却設備の defrost が遠隔監視・制御の対象になっていることが分かるという。
著者はここで、これは「誰かが全基地の冷凍庫を一斉にハッキングした」と証明したわけではないと釘を刺す。一方で、各基地の売り場で冷却が止まったり、逆に heating したように見えたりしたという報告が重なり、しかも別の契約書では refrigeration と HVAC を24時間遠隔監視する仕組みや、米国内に master control system があると読める記述もある。さらに、Robins AFB の新しい commissary が RSMS controls で refrigeration と HVAC を管理しているという説明も出てくる。要するに、普通の「冷凍庫故障」では済まず、ネットワーク化された制御設備そのものが論点になっている、というのが著者の主張だ。そこへ、Claroty の Team82 が8月9日に公表した Danfoss refrigeration controller の脆弱性調査が重なり、著者は「技術的には、こうしたシステムが悪用される余地はある」と見ている。
まず引っかかるのは、著者の書きぶりが大胆なわりに、結論はかなり慎重なことだ。タイトルは「ハックされたのでは」と煽っているが、本文では何度も「証拠はない」と明示している。ここは重要で、単なる陰謀めいた話として読むと外す。実際に見えているのは、複数施設で似た障害が起き、しかも一部の設備が遠隔制御や集中監視と結びついている、という事実だけだと思う。だから「攻撃だった」と断定するのではなく、「攻撃だったとしてもおかしくない構造がある」と読むのが妥当だろう。
もう一つ面白いのは、この記事がサイバー攻撃の話でありながら、出発点は食料品売り場だという点だ。冷凍ピザや肉、野菜がだめになると、まず困るのは基地で暮らす家族や利用者だ。けれど、その裏で起きているのは、軍の施設がごく普通の商業用制御機器に依存している現実だ。冷却設備は昔ながらの「電源を入れれば動く箱」ではなく、RMCS や RSMS で管理されるネットワーク機器になっている。便利さの代わりに、遠隔監視、更新、認証、設定ミス、脆弱性のどれか一つで広範囲に影響が出る。ここは軍に限らず、病院、物流倉庫、スーパーにもそのまま当てはまる話だと思う。
さらに、こういう事案では「原因がまだ分からない」こと自体が被害になる。現場は食品を廃棄し、利用者は売り場を使えず、広報は停電なのか設備故障なのかサイバーなのかを説明しなければならない。だが、設備がネットワーク化されていると、現場の目視だけでは原因を切り分けられない。著者が Facebook コメントや匿名投稿を追わざるをえなかったのも、その曖昧さのせいだ。私はここに、この問題のいちばん厄介な点があると思う。攻撃か事故かの前に、「事故に見える攻撃」と「攻撃に見える事故」が同じ形で現れてしまう。
最後に、この記事はセキュリティの話を「軍のシステムだから特殊」として終わらせていないところがよい。むしろ逆で、軍の commissary という日常的な場所に、商業施設と同じような制御ネットワークが入り込んでいるからこそ、脆弱性は現実味を持つ。Danfoss の研究が示したように、冷凍・冷蔵コントローラは抽象的なITではなく、具体的な装置だ。そこに通信機能と集中管理を足せば、話は一気にサイバーインシデントになる。今回の件が本当にハックだったかはまだ分からないが、「冷蔵庫くらい大丈夫」という感覚は、もう通用しないのではないかと思う。
