同社は2023年9月27日に米国証券取引委員会（SEC）に提出した書類の中で「ITインフラとアプリケーションの一部を停止させたサイバーセキュリティインシデントに対応中だ」と述べた（注1）。同社はインシデントの性質について説明していないが、セキュリティ専門家はランサムウェア攻撃が原因だとみている。

　同社は「どのようなシステムが影響を受けたのかを確認しながら、サイバー攻撃の影響の軽減に取り組んでいる」と述べた。

　同社のアプリケーションの多くは現在も稼働しており、可能な範囲で回避策を講じているようだ。

　Johnson Controlsは、SECに提出した書類の中で次のように記している。

　「今回のインシデントは、当社の事業運営の一部に混乱を引き起こし、今後も影響が続くと予想される」

　コンピューターヘルプサイトのBleeping Computerが報じたところによると（注2）、攻撃者は「VMware ESXi」のサーバを含む多くの企業のデバイスを違法に暗号化したようだ。

　被害を受けた企業がインシデントレスポンス企業と調査して、保険企業と調整する中で、サイバーセキュリティの専門家は、この攻撃についてより深刻な見方を示している。

　サイバーセキュリティ事業を営むRecorded Futureのアラン・リスカ氏（脅威インテリジェンスアナリスト）は次のように述べた。

　「被害はかなり深刻なようだ。ランサムウェアグループがJohnson Controls社内のWindowsシステムのみならず、ESXiやLinuxシステムまでも混乱させることを考えると、状況の深刻さが分かる。これは、攻撃者が同社のネットワーク全体に広範かつ自由にアクセスできたことを示している」

　リスカ氏によると、影響はJohnson Controlsに限定されており、同社の顧客の環境には及んでいないようだ。

　「しかし、ランサムウェアグループに盗まれたデータの中身はまだ分かっていない」（リスカ氏）

第二波攻撃の引き金になる可能性

　サイバーセキュリティ事業を営むContrast Securityのトム・ケラーマン氏（サイバーストラテジー担当シニアバイスプレジデント）は次のように述べた。

　「Johnson Controlsの製品は（電力やガス、鉄道、空港などの）多くの重要なインフラ設備に使用されており、この攻撃は物流やエネルギー、防衛などの業界のシステムに影響を与えるだろう。今回の攻撃は、数カ月に渡って影響を及ぼす破壊的なものだ。この攻撃に差し迫った第2段階があるのではないかと私は考えている。つまり、攻撃者がJohnson Controlsのインフラを利用して、さらに破壊的な攻撃を仕掛けることを懸念しているのだ」

　「Cybersecurity Dive」がJohnson Controlsにコメントを求めたところ、広報担当者は「SECへの提出書類にある通りだ」と回答した。

　提出書類の中で、Johnson Controlsは次のように記している。「調査と是正措置を継続中だ。当社はこのインシデントが四半期末および通年の業績の適時開示に影響を与えるかどうか、また、業績に影響を与えるかどうかを確認中だ」

　買収してグループ企業となったTyco InternationalやADT、York International、SimplexGrinnell、Ruskinなどを含め、Johnson Controlsは2022年時点で約10万人を雇用している。