オランダの小売業者デ・ベインコルフ、サイバー攻撃で顧客データ流出の可能性を警告

オランダの高級百貨店チェーン、デ・ベインコルフに物流サービスを提供する業者の1社がサイバー攻撃を受け、顧客の注文、返品、返金処理に遅延が生じているほか、顧客データが流出した可能性があります。

今回の事案は、ここ数カ月間に小売・食品関連企業をサードパーティ業者経由で混乱させた一連のインシデントの1つです。

アムステルダムを拠点とするこの小売業者は水曜日、今回の事案は外部の物流パートナーのシステムのみに影響を及ぼしたものであり、現時点で自社インフラが侵害された兆候はないと発表しました。 

「当社の物流パートナーは直ちに対応し、アクセスを遮断した上で、追加のセキュリティ対策を講じました」とデ・ベインコルフは述べ、店舗、ウェブサイト、モバイルアプリは通常通り稼働していると付け加えています。

同社によると、顧客はオンライン注文を引き続き利用できるものの、配送には通常より時間がかかっており、返品・返金の処理も遅くなっているとのことです。

デ・ベインコルフは、顧客情報にアクセスされたかどうか、またアクセスされた場合は何人が影響を受けたのかを確認するため、調査を進めていると述べています。同社はオランダ国内で7店舗の百貨店を展開しており、従業員数は約4,500人です。

流出の可能性がある情報には、氏名、メールアドレス、郵送先住所、電話番号のほか、注文商品、価格、割引、配送情報、利用された支払い方法など、オンライン購入に関する詳細情報が含まれます。法人顧客については、会社名や付加価値税(VAT)番号も影響を受けた可能性があります。

同小売業者によると、物流業者はクレジットカード情報、銀行口座番号、ユーザー名やパスワードを保存していなかったため、これらのデータが流出した可能性は低いとのことです。また、今回の侵害にはログイン認証情報が関与していないことから、顧客アカウントへのリスクも低いと見られています。

予防措置として、デ・ベインコルフは影響を受けた可能性のある顧客に通知を行うとともに、オランダのデータ保護当局に今回の事案を報告したと述べています。同社は、今回の事案がランサムウェアによるものかどうか、また身代金の要求を受けたかどうかについては言及していません。犯行声明を出した攻撃者は現時点でいません。

狙われやすいターゲット

サイバー犯罪者は、小売チェーン自体ではなく、サプライヤーやサービスプロバイダーを侵害することで間接的に小売チェーンを繰り返し標的にしています。

今週初め、ポーランドのコンビニエンスストア大手ジャブカ(Żabka)は、外部サービスプロバイダーに属するアカウントが攻撃者に侵害されたとされる事案を受け、内部システムへの不正アクセスがあったことを公表しました。同社は、顧客向けサービスや決済システムへの影響はないとしています。

7月には、ディスカウントスーパーマーケットを運営するリドル(Lidl)が、ITサービスプロバイダーの1社が侵害されたことにより、ドイツ、ベルギー、オランダのオンラインストアの顧客情報が流出したと発表しました。

同じく7月には、日本最大手の冷蔵物流会社に対するランサムウェア攻撃により全国規模で食品配送が混乱し、ケンタッキーフライドチキンを含む飲食チェーンで供給不足が発生しました。この事例は、物流業者への攻撃が小売のサプライチェーン全体へと瞬く間に波及し得ることを示しています。

高級品を扱う小売業者2社、ハロッズとルイ・ヴィトンも、2025年にサイバーセキュリティ事案を報告しています。