랜섬웨어 조직이 아홀드 델하이즈의 미국 식료품 시스템을 며칠간 오프라인으로 마비시켰다

2024년 11월 8일, 스톱 앤 숍, 하너퍼드, 푸드 라이언, 자이언트 푸드, 더 자이언트 컴퍼니 등 2,000개 이상의 매장을 보유한 아홀드 델하이즈 USA는 사이버 공격을 공개하고 이를 억제하기 위해 시스템을 오프라인으로 전환했다. 직원들이 주문 내역을 확인할 수 없어 픽업 및 배달 주문이 취소됐고, 일부 약국은 전화를 받을 수 없었으며, 하너퍼드 웹사이트와 앱은 둘째 주까지도 다운 상태로 남아 있었다. 매장은 계속 영업하며 카드 결제를 받았지만, 이 혼란은 미국의 연말 연휴 판매 성수기 직전에 발생했다.

몇 주 후 회사는 파일이 탈취됐음을 확인했는데, 이는 Arctic Wolf 연구원들에 따르면 Inc Ransom으로 추적되는 조직이 유출 사이트에서 미국 사업부의 최대 6TB 데이터를 보유하고 있다고 주장한 이후였다. 이후 주(州) 당국 제출 자료에 따르면, 침입자들은 공개 발표보다 며칠 앞선 11월 5-6일에 이미 회사의 데이터베이스 중 하나에 접근했던 것으로 나타났다. 이 사건을 둘러싼 인사 변동은 어색했다. 미국 사업부는 2년간의 IT 리더십 교체 끝에 앤 도지어를 새 CIO로 막 선임한 상태였다.

2025년에 전체 비용이 드러났다. 메인주 법무장관 제출 자료는 노출 규모를 약 220만 명으로 집계했는데, 현직 및 전직 직원, 부양가족 및 수혜자, 그리고 약 10만 명의 메인주 주민이 포함되며, 생년월일, 사회보장번호, 은행 정보, 건강 기록, 산재 보상 데이터가 유출됐다. 회사는 고객 결제 시스템이나 약국 시스템이 공격받았다고 보지 않는다고 밝혔다. 억제 조치로 고객의 카드는 보호됐으며, 탈취된 데이터는 대부분 인력 관련 정보였다.

2,000개 이상 매장에서 며칠간 픽업/배달이 취소되고 약국 시스템이 다운됐으며, 최대 6TB가 탈취됐다고 주장됐고, 220만 명의 기록이 노출됐다.

침입은 탐지되기 전 며칠간 지속됐다. 공격자들은 11월 8일 공개 발표에 앞서 11월 5-6일에 인사 데이터베이스에 접근했다.

억제 조치는 전자상거래와 약국 일부의 전원을 끄는 것을 의미했고, 사전에 구축된 저하 모드 없이 안전을 위해 매출과 고객 신뢰를 맞바꿨다.

복구는 수작업 우회 조치에 의존했기 때문에 취소와 고객 소통이 지연됐고, 은행 계좌에 보류 중인 청구가 남았다.

최근의 IT 리더십 교체로 레거시 접근 통제의 책임 소재가 가장 나쁜 시점에 불분명해졌다.

선제적 셧다운은 공격을 억제하지만 이를 가시적인 서비스 중단으로 전환한다. 복원력 계획은 단순한 침해가 아니라 고객이 억제 조치를 어떻게 경험하는지까지 예산에 반영해야 한다.

혼란 기간 동안 모든 미국 매장은 계속 영업했으며, 하너퍼드의 웹사이트와 앱은 다음 주 초까지도 다운 상태였다. 2024년 12월, 아홀드 델하이즈는 Inc Ransom이 데이터를 공개하겠다고 위협한 후 데이터가 탈취됐음을 확인했고, 법 집행 기관에 통보하고 외부 포렌식 업체를 투입했다. 2025년까지 회사는 약 220만 명의 현직 및 전직 직원과 그 가족에게 통지했으며, 고객 결제 시스템이나 약국 시스템이 침해됐다는 징후는 발견하지 못했다고 밝혔다. 억제 조치는 중요한 부분에서 유지됐지만, 그 대가는 매우 공개적인 서비스 중단이었다.