CDK Globalは米国の大半の自動車ディーラーを1つのプラットフォームで動かしていた——ランサムウェアがそれを全て停止させた

CDK Globalは、北米のほとんどの自動車ディーラーが販売、ファイナンス、サービス予約、部品在庫管理に依存しているディーラーマネジメントシステムを運営していた——Lithia Motors、Group 1 Automotive、Penske、Sonicといった大手グループや、BMW、Nissan、Hondaなどのメーカーを含む約15,000のディーラー拠点を支える単一の共有プラットフォームである。2024年6月18日、BlackSuitランサムウェア集団がそのプラットフォームを攻撃した。CDKは侵入を封じ込めるため翌日に自社のITシステムを停止し、復旧の最中に攻撃者から二度目の攻撃を受けた。

身代金の要求額は当初1,000万ドルで、障害が長引くにつれて5,000万ドルを超えて上昇した。CDKは数千万ドルの支払いを意図していることを示し、後の報道では実際の支払額は約2,500万ドル——6月21日にBlackSuit関連の口座へ送られた約387ビットコイン——とされた。支払い後も、すべてのディーラーへのサービス復旧には7月4日までかかり、最初の攻撃から2週間以上を要した。

CDKのソフトウェアが業界のあまりに多くの部分にとって同時に業務の基盤となっていたため、障害はCDK自身のインフラにとどまらなかった。ディーラーは販売の処理、ファイナンス書類の作成、サービス予約の記録、部品の追跡ができなくなり、多くは契約書を手書きし、回避策として外部ソフトウェアを使う状態に戻った。Anderson Economic Groupは、6月19日から7月5日までの3週間におけるフランチャイズディーラーの直接損失を10億2,000万ドルと推定した。この数字はCDK自身のコストではなく、失われた販売と人件費を対象としている。

CDKをディーラーにとって価値あるものにした集中——ファイナンス、販売、サービスを一体で動かす1つのプラットフォームが、分断されたシステムより効率的であるために業界全体で採用されたこと——こそが、1件のランサムウェア侵入を業界全体の障害に変えた要因そのものであった。どのディーラーにも代替手段はなかった。すべてをCDK経由で動かすことを優先した結果、代替手段はビジネスから設計上排除されていたからである。

販売、ファイナンス、サービスを担う1つのプラットフォームに代替手段がなかったため、1件の侵入でディーラーに10億2,000万ドルの損失が生じ、CDKは約2,500万ドルの身代金を支払った。

北米全体で約15,000のディーラーが中核業務を1つの共有プラットフォームで運営していたため、1件の侵入は封じ込められたインシデントではなく業界全体の障害となった。

CDKは最初の攻撃からの復旧中に二度目の攻撃を受け、最終的に6月18日から7月4日まで続いた障害が長期化した。

ディーラーには販売、ファイナンス、サービス予約のためのオフラインの代替手段がなかった——すべてを1つのシステムで動かす効率性により、そのシステムが失われた時点で手作業のバックアップ経路が残されていなかった。

障害が長引くにつれて身代金は1,000万ドルから5,000万ドル超に上昇し、CDKは独立して再構築するのではなく約2,500万ドルを支払った。

業界の日常業務を1つの共有プラットフォームに統合することは、非効率とともに冗長性も排除する——1件のランサムウェア攻撃が全員の障害となり、手作業の代替手段は残されない。

CDKは2024年7月4日までにすべてのディーラーを完全なサービスに復旧させ、これは攻撃開始から約2週間後であった。このインシデントにより、ディーラーグループとメーカーは、これまでストレステストを行っていなかった単一ベンダー依存に対する緊急時対応計画を見直すことになり、またBlackSuitが1つの標的で米国の主要産業を混乱させ得るランサムウェア組織として注目を集めた。