勒索软件团伙导致Ahold Delhaize美国杂货系统离线数日

2024年11月8日，Ahold Delhaize USA——Stop & Shop、Hannaford、Food Lion、Giant Food和The Giant Company的母公司，拥有超过2,000家门店——披露了一起网络攻击，并将系统下线以遏制攻击。自提和配送订单被取消，因为员工无法查看已下单的内容；部分药房无法接听电话；Hannaford网站和应用程序持续宕机至第二周。门店保持营业并继续接受银行卡支付，但中断恰好发生在美国假日销售旺季前夕。

数周后，公司确认文件被盗，此前据Arctic Wolf研究人员称，一个被追踪为Inc Ransom的团伙在其泄露网站上声称持有来自该美国部门最多6 TB的数据。根据后来的州政府备案文件，入侵者已于11月5日至6日进入其一个数据库，即公开披露前数日。事件前后的管理层变动颇为尴尬：美国业务在经历两年IT领导层更迭后，刚刚迎来了新任CIO Ann Dozier。

2025年，完整账单浮现。缅因州总检察长备案文件显示，受影响人数约为220万——包括现任和前任员工、家属及受益人，其中约10万为缅因州居民——泄露数据包括出生日期、社会安全号码、银行信息、健康记录和工伤赔偿数据。公司表示，其认为客户支付或药房系统未遭入侵：遏制措施保护了购物者的银行卡，而被盗数据主要涉及员工队伍。

2,000多家门店数日自提/配送取消、药房系统宕机；声称被盗数据最多6 TB；220万人的记录遭泄露。

入侵持续数日才被发现——攻击者于11月5日至6日进入一个人事数据库，早于11月8日的披露。

遏制意味着切断电商和部分药房系统，以收入和客户信任换取安全，且没有预先构建的降级运行模式。

恢复依赖人工变通方案，导致取消和客户沟通滞后，待处理扣款滞留在银行账户中。

近期IT领导层更迭使遗留访问控制的责任归属在最糟糕的时刻悬而未决。

先发制人的关停遏制了攻击，但将其转化为可见的服务中断：韧性规划必须为客户如何经历遏制措施预留预算，而不仅仅是入侵本身。

所有美国门店在中断期间保持营业，Hannaford的网站和应用程序在次周初仍处于宕机状态。2024年12月，在Inc Ransom威胁公布数据后，Ahold Delhaize确认数据被盗；执法部门已获通知，外部取证团队已介入。整个2025年，公司通知了约220万名现任和前任员工及其家属，并表示未发现客户支付或药房系统遭入侵的迹象——遏制在关键之处奏效，代价是一次非常公开的服务中断。