食品小売大手アホールド・デレーズ、220万人に影響するデータ漏洩を公表

世界最大級の食品小売業者であるアホールド・デレーズは、米国事業に対するサイバー攻撃により、220万人以上の個人情報が流出したことを確認しました。この漏洩は2024年11月に発生し、同社の内部業務システムを標的としたランサムウェア事件に関連しています。

この漏洩の詳細は、先週メイン州司法長官への届け出で明らかになりました。盗まれたデータは主に、アホールド・デレーズUSAの現・元従業員の内部雇用記録です。

同社によると、すべての個人が同じ情報を漏洩されたわけではありませんが、アクセスされた可能性のある情報には以下が含まれます：

• 氏名および連絡先情報

• 生年月日

• 政府発行の身分証明書番号

• 銀行口座情報

• 健康および労災補償データ

• 雇用関連記録

アホールド・デレーズは顧客データが含まれていたかどうかは確認していませんが、漏洩は雇用関連情報のみに限定されていると強調しています。メイン州だけでも95,463人が影響を受け、州レベルでの通知が義務付けられました。

「現時点で、これはランサムウェア攻撃後の最も重大なデータ漏洩の一つであり、特に食品・飲料業界において顕著です」とComparitechのデータリサーチ責任者、レベッカ・ムーディ氏は述べています。

「食品・飲料会社に対するランサムウェア攻撃で漏洩した記録の平均件数は53,200件でした。このことは、今回の漏洩の深刻さと、データ窃盗への新たな焦点を浮き彫りにしています。」

ランサムウェアが小売業界に与える影響について詳しくはこちら：5月はランサムウェア攻撃が減少も小売業界への標的化は継続

同社は、米国でFood Lion、Stop & Shop、Giant Food、Hannafordなどのブランドを所有しており、11月6日に攻撃を検知した直後に調査を開始し、システムの安全確保を行ったと述べています。当時、一部店舗では薬局や配送業務の遅延などサービスの中断が報告されました。

アホールド・デレーズは、調査の結果、顧客のクレジットカード情報や薬局データが漏洩した証拠はないとしています。しかし、予防措置として、米国内の影響を受けた個人に対し、Experianによる2年間の無料クレジットモニタリングと身元保護サービスを提供しています。

アホールド・デレーズは攻撃者の正式な名前を明らかにしていませんが、 ランサムウェアグループINC Ransomが4月に同社を恐喝サイトに追加し、漏洩時に取得したとされる文書を公開しました。

「INCランサムウェアグループは最も有名というわけではありませんが、過去にも注目すべき攻撃に関与しています」とKnowBe4のセキュリティ啓発アドボケート、エリック・クロン氏は述べています。

「盗まれた情報は被害者にとって重大な脅威となります。」

クロン氏は、被害者に対してクレジットレポートの監視と、可能であれば「クレジットレポートのロック」を勧めています。

「組織はこのような攻撃を教訓とし、ランサムウェア攻撃を回避するためにできる限りの対策を講じるべきです」と同氏は付け加えました。

漏洩への対応として、アホールド・デレーズは外部のサイバーセキュリティ専門家を招き、脅威の封じ込めに即座に対応したと述べています。同社は引き続きシステムを監視し、データ保護プロトコルの強化を約束しています。

「私が最も恐ろしいと感じるのは、サイバー脅威によって非常に一般的な実害が現実となったことです」とDispersiveの副社長、ローレンス・ピングリー氏は述べています。

「この種のデータシステムには、強力な多要素認証、ステルスネットワーク、そしてユーザーの分割管理が必要です。」

オランダ・ベルギーの小売コングロマリットである同社は、世界で9,400店舗以上を運営し、毎週6,000万人以上の顧客にサービスを提供、昨年の年間売上高は1,040億ドルを記録しました。