ランサムウェア集団がAhold Delhaizeの米国食料品システムを数日間停止させた

2024年11月8日、Ahold Delhaize USA——Stop & Shop、Hannaford、Food Lion、Giant Food、The Giant Companyを傘下に持ち、2,000店舗以上を展開する——はサイバー攻撃を公表し、封じ込めのためにシステムをオフラインにした。従業員が注文内容を確認できなかったため、受け取り・配達注文はキャンセルされた。一部の薬局は電話応対ができなくなった。Hannafordのウェブサイトとアプリは翌週に入ってもダウンしたままだった。店舗は営業を続けカード決済も受け付けたが、混乱は米国のホリデー商戦の直前で発生した。

数週間後、同社はファイルが盗まれたことを確認した。Arctic Wolfの研究者によると、Inc Ransomとして追跡される集団がリークサイト上で米国部門から最大6TBのデータを保有すると主張した後だった。その後の州への届出によれば、侵入者は公表の数日前にあたる11月5日から6日にはすでに同社のデータベースの一つに到達していた。この事件をめぐる混乱は厄介だった。米国事業は2年間のITリーダーシップの変遷を経て、新しいCIOのAnn Dozierをちょうど迎え入れたばかりだった。

2025年になって全容が明らかになった。メイン州司法長官への届出では、流出したのは約220万人分——現従業員と元従業員、扶養家族、受益者、そのうち約10万人のメイン州民を含む——で、生年月日、社会保障番号、銀行口座情報、健康記録、労災補償データが含まれていた。同社は、顧客の決済システムや薬局システムは被害を受けていないと考えていると述べた。封じ込めにより買い物客のカードは保護され、盗まれたデータは主に従業員に関するものだった。

2,000店舗以上にわたる数日間の受け取り・配達のキャンセルと薬局システムの停止。最大6TBが盗まれたと主張され、220万人分の記録が流出した。

侵入は検知されるまで数日間続いた——攻撃者は11月8日の公表に先立ち、11月5日から6日には人事データベースに到達していた。

封じ込めとは電子商取引と薬局の一部を停止することを意味し、事前に構築された縮退運転モードがないまま、安全と引き換えに収益と顧客の信頼を失った。

復旧は手作業の回避策に頼ったため、キャンセルと顧客への連絡が遅れ、未処理の請求が銀行口座に残った。

最近のITリーダーシップの頻繁な交代により、レガシーなアクセス制御の責任所在が最悪のタイミングで未解決のままだった。

先制的なシャットダウンは攻撃を封じ込めるが、それを目に見えるサービス停止に変えてしまう。レジリエンス計画では、侵害そのものだけでなく、封じ込めを顧客がどう経験するかを見積もる必要がある。

混乱の間、米国の全店舗は営業を続け、Hannafordのサイトとアプリは翌週初めにもダウンしたままだった。2024年12月、Inc Ransomがデータを公開すると脅した後、Ahold Delhaizeはデータが盗まれたことを確認した。法執行機関に通報し、外部のフォレンジック調査を開始した。2025年を通じて同社は約220万人の現従業員と元従業員およびその家族に通知し、顧客の決済システムや薬局システムが侵害された形跡は見つかっていないと述べた——封じ込めは重要なところで機能したが、その代償は非常に公的なサービス停止だった。