巨大企業が受けた痛手 ランサム攻撃で利益が減少

ランサムウェア攻撃を受けた企業はどの程度の被害を受けるのだろうか。世界企業の事例を紹介する。

[David Jones，Cybersecurity Dive]

　巨大企業がランサムウェア攻撃を受けると、どの程度の被害を受けるのだろうか。フルーツとフルーツ加工食品を全世界に供給するDoleが2023年2月に受けたランサムウェア攻撃の被害を見てみよう。

被害額や被害内容は？

　2023年度第1四半期（2023年5月18日に決算報告）のDoleの売上高は、19億8900万ドル、調整後純利益は3230万ドルだった（注1）。ランサムウェア攻撃の被害額はどうだったのか。

　2023年2月のランサムウェア攻撃による直接的な被害額は1050万ドルだった。被害額は調整後純利益の約33％に相当する。直接的な被害額のうち約480万ドルは継続的な事業運営に関連するものだ。

　同社の事業全体に対してこの攻撃がもたらした影響は限定的だという。混乱が生じたのは生鮮野菜事業と、チリにおける事業だ。四半期決算に関する会議において、CEOのローリー・バーン氏は「攻撃に関連して生鮮野菜事業が約570万ドルのコストを負担した」と述べた。

　「問題は複雑でコストも発生しているが、システム復旧のためのプロトコルが想定通りに機能するように努めた従業員の献身的な取り組みに非常に満足している」（バーン氏）

サーバの約半分と従業員が使うPCの約4分の1に影響が発生

　証券取引委員会に提出された「6-Kファイル」（外国企業が米国市場での証券取引に関連する重要な情報を提供する書類）によると（注2）、この攻撃はDoleのサーバの約半分と従業員が使うPCの約4分の1に影響を与えた。

　攻撃者は特定の従業員に関する情報を含む幾つかの企業データを盗んだ。Doleの関係者は、漏えいした従業員データが公開された形跡はないと6-Kファイルに記している。

　Doleによると、影響を受けた全てのサーバとPCは、攻撃以降に復旧または再構築されたとのことだ。Doleは第三者機関としてサイバーセキュリティの専門家を起用し、攻撃の調査と回復を支援するよう努めており、法執行機関とも協力している。

　2023年3月、バーン氏は、北米では十分なサイバー保険に加入するのは困難だとして、同社が攻撃費用を完全に回収できる見込みはないと語った（注3）。

　2021年当時のDole Food Company（当時の社名）はFyffesからスピンオフしたTotal Produceと合併し（注4）、世界最大級の青果会社となったDoleに姿を変えた。合併後の会社はアイルランドのダブリンに本社を置く。

出典：Dole incurs $10.5M in direct costs from February ransomware attack（Cybersecurity Dive）

注1：Dole plc Reports First Quarter 2023 Financial Results（Dole）

注2：UNITED STATES SECURITIES AND EXCHANGE COMMISSION（UNITED STATES SECURITIES AND EXCHANGE COMMISSION）

注3：Dole doesn’t expect to recover full costs of ransomware attack（Cybersecurity Dive）

注4：Total Produce to Combine With Dole Food Company and Become Publicly Listed in the U.S.（businesswire）