スタバも被害に遭ったランサムウェア攻撃の手法とリスク 被害事例から分かること

サプライチェーン攻撃によって、間接的にターゲットに攻撃を仕掛けることができる。サプライチェーン攻撃の一種ともいえる攻撃によって、スターバックスも被害を受けた。

[David Jones，Cybersecurity Dive]

　企業がランサムウェア攻撃を受けると業務に支障が生じ、最悪の場合、業務停止に陥ることがある。

　だが、ランサムウェア攻撃を受けていないのにランサムウェア攻撃の影響を受けることがある。どういうことだろうか。

スタバも被害に遭ったランサムウェア攻撃の手法とリスク

　スターバックスなどが影響を受けた事例を紹介しよう。

　2024年11月21日、米国アリゾナ州を拠点とするBlue Yonderはランサムウェア攻撃を受け（注1）、同社のマネージドサービスホスティングの環境が影響を受けた。

　この結果、同社のサービスを利用しているStarbucksやイギリスでスーパーマーケットチェーンを展開するMorrisonsなどの企業は業務に混乱を来した。これはサプライチェーン攻撃の一種だと言えるだろう。

　Blue Yonderは2024年12月1日に「（2024年11月の第4木曜日の）感謝祭の前に発生したランサムウェア攻撃からの復旧に向けて前進している。影響を受けた顧客は復旧しており、運営を再開している」と発表した（注2）。

　「当社は順調に前進しており、影響を受けた顧客のうち数社はオンラインに戻った。また、他の顧客とも直接連携しており、ビジネスを通常の状態に戻すために積極的に作業しているところだ」

影響を受けた企業はどうなったのか

　イギリスで約500店舗を展開するMorrisonsは「Blue Yonderに対する攻撃により、生鮮食品と農産物に関連する倉庫管理システムに障害が発生した」としていたが、状況が大幅に改善したことを2024年12月2日に発表した。

　Morrisonsの広報担当者は次のように述べた。

　「当社は迅速に復旧しており、バックアップシステムも順調に稼働している」

　Morrisonsは「一部のスーパーマーケットでは商品が完全にはそろっていない状況だが、チェーン全体では順調に前進している」と述べた。

　2024年11月26日の週にStarbucksは「攻撃により、従業員の労働時間を追跡するために使用している内部プラットフォームが影響を受けた」と述べた（注3）。同社は従業員が給与を受け取れるように手動で対応した。

　Blue Yonderの他の大規模な顧客は影響を受けなかった。物流サービスを提供するDHLは、Blue Yonderの技術を使用していたが「攻撃による直接的な影響は受けていない」と述べた。また、同社の広報担当者は「Blue Yonderのシステムに関連して、一部の顧客に対する影響が報じられている孤立したインフラの停止を認識している」とも述べた。

　Blue Yonderは、同社の「Microsoft Azure」のパブリッククラウド環境に影響がなかったということ以外、攻撃の詳細についてコメントしていない。

　感謝祭や11月の月末のブラックフライデーが近づく時期、小売業者にとってサプライチェーンリスクが懸念事項になる。これらの時期は、クリスマスのホリデーショッピングシーズンの始まりを告げるものだからだ。もちろん、他の商戦期にもサプライチェーンリスクはある。

サプライチェーンリスクはどの程度なのか

　セキュリティ事業を営むSophosのデータによると、2024年には小売企業の45％がランサムウェアの被害に遭っており（注4）、その主な原因は脆弱（ぜいじゃく）性の悪用だったという。

　Sophosのピーター・マッケンジー氏（インシデント対応ディレクター）は次のように述べていた。

　「サプライチェーン攻撃による脅威が増大しており、これらのベンダーに依存している顧客に大きな圧力をかけている。特定の攻撃の全体的な影響はまだ明らかになっていないが、対策を待つ間、影響を受けた顧客の選択肢は限られたものとなる」

　全米小売業協会は、セキュリティ事業を営むThe Chertoff Groupと協力して、2024年11月中旬にサプライチェーンリスクマネジメントのためのガイドを発表し（注5）、ホリデーシーズン前に在庫をより効果的に保護できるように小売業者を支援した。

　全米小売業協会でメディア関連の対応を行うダニエル・インマン氏（シニアディレクター）は次のように述べた。

　「サイバーセキュリティがますます複雑化する状況において、全ての企業が第三者リスクの問題に対応しようと努力している」

出典：Blue Yonder moves closer to full recovery after November ransomware attack（Cybersecurity Dive）
注1：Ransomware hits supply chain software firm Blue Yonder ahead of Thanksgiving（Cybersecurity Dive）
注2：Cybersecurity Incident Update（Blue Yonder）
注3：Starbucks confirms Blue Yonder attack impacted employee scheduling platform（Cybersecurity Dive）
注4：The State of Ransomware in Retail 2024（Sophos）
注5：A Guide to Developing a Retail Supply Chain Cybersecurity Risk Management Plan（National Retail Federation）