M&Sの3億ポンドのランサムウェア攻撃 — 利益をほぼ半減させたサイバー侵害

2025年4月、140年の歴史を持つ英国の小売大手マークス・アンド・スペンサー（M&S）が、Scattered Spider集団によるランサムウェア攻撃を受けた。攻撃者はイースターの週末にアクセスを獲得し、M&Sのインフラの一部を暗号化した。顧客からは支払いの問題やオンライン注文の遅延が報告され、同社は中核システムをゼロから再構築する間、オンライン衣料品ストアを46日間凍結せざるを得なかった。

財務面の影響は深刻だった。M&Sは投資家に対し最大3億ポンドの利益への打撃があり得ると警告し、直接コストは1億3,600万ポンドと見積もられた。攻撃後の6か月間で、基礎的な税引前利益は55.4%減の1億8,410万ポンドに急落した。英国のサイバー監視センターは、M&SとCo-opへの攻撃による合算被害額を2億7,000万ポンドから4億4,000万ポンドの間と分類した。倉庫システムが停止し、一部店舗では棚が空になり、同社のデジタルトランスフォーメーション——再建戦略の重要な柱——は事実上ゼロにリセットされた。

この攻撃はM&Sのサイバーセキュリティ体制の隙を突いたものだった。同社は店舗の改装や製品革新に多額の投資を行ってきたが、サイバーセキュリティを業務上のリスクではなくバックオフィスのコストとして扱っていた。46日間のオンラインストア閉鎖は単なる収益の損失ではなく、顧客の信頼に関わる出来事だった。混乱の間にオンライン注文に移行した買い物客は、代替手段を探さなければならなかったからだ。

この攻撃は3億ポンドの利益と55.4%の落ち込みという代償をもたらした。M&Sがサイバーセキュリティをリスクではなくコストセンターとして扱い、実行可能な災害復旧計画を持っていなかったためである。

M&Sはサイバーセキュリティをリスクではなくコストセンターとして扱っていた——ファイアウォールやインシデント対応への投資は、保護対象であるインフラの複雑さに追いつくことがなかった

46日間のオフライン期間は、M&Sがeコマースプラットフォーム向けの実行可能な災害復旧計画を持っていなかったことを示した——現代の小売業者にとっての単一障害点である

この攻撃は「ちょうど十分な」セキュリティ体制を突いた——最低基準は満たしていたが、執拗なランサムウェア集団に耐えるようには設計されていなかった

小売業者のデジタルインフラはその店頭である——そして46日間それを閉鎖させるランサムウェア攻撃は、「ちょうど十分な」セキュリティでは全く十分ではないことを明らかにしている