【870億円の損失】英国小売業界を襲ったサイバー攻撃の全貌と企業が今すぐ取るべき対策

英国小売業界を震撼させた870億円規模のサイバー攻撃

2025年、英国の小売業界を襲ったサイバー攻撃により、最大で4億4,000万ポンド（約870億円）もの経済損失が発生しました。この攻撃は、マークス＆スペンサー（M&S）や消費者協同組合Co-op、老舗高級百貨店ハロッズなどの大手小売業者を標的とし、業務を完全に麻痺させる深刻な事態となりました。

現役のCSIRTメンバーとして、このような大規模なサイバー攻撃を日々分析している私から見ると、今回の事件は単なる「よくあるサイバー攻撃」ではありません。これは、現代のデジタル経済における新たな脅威の現実を浮き彫りにした象徴的な事例なのです。

今回の攻撃を評価したのは、英国の政府機関である国家サイバーセキュリティセンター（NCSC）の元創設CEOキアラン・マーティン氏が議長を務める、Cyber Monitoring Centre（CMC）です。

CMCが開発した「サイバーモニタリングマトリックス」は、サイバー攻撃の深刻度を以下の6段階で分類しています：

今回の攻撃は「カテゴリー 2」と評価されましたが、それでも870億円もの損失を発生させました。これが「カテゴリー 4」や「カテゴリー 5」だった場合の損失を想像すると、その規模の恐ろしさがお分かりいただけるでしょう。

フォレンジック調査の現場では、このような大規模攻撃の痕跡を詳細に分析しています。今回の英国小売業界への攻撃では、以下のような特徴が見られました：

複数の大手小売業者が同時期に攻撃を受けているという事実は、これが組織的で計画的な攻撃であることを示唆しています。私が過去に調査した類似事例では、攻撃者は数か月から数年にわたって標的企業のシステムに潜伏し、最適なタイミングで攻撃を仕掛けていました。

M&SやCo-opの業務が完全に麻痺したという事実は、攻撃者がランサムウェアや基幹システムへの侵入を用いて、企業の中核機能を狙い撃ちしたことを示しています。

「うちは大企業じゃないから大丈夫」そう思っている方は危険です。実際に私が調査した中小企業のサイバー攻撃被害をご紹介します：

これらの事例から分かるのは、企業規模に関係なく、サイバー攻撃は甚大な被害をもたらすということです。

現役CSIRTとしての経験から、個人・中小企業が今すぐ実践すべき対策をお伝えします：

最も重要なのは、単一の対策に頼らない多層防御システムです。その基盤となるのが、信頼性の高いアンチウイルスソフトです。

現在のサイバー攻撃は非常に巧妙で、従来の検知手法では対応しきれません。私が推奨するのは、AIベースの行動分析機能を搭載した次世代アンチウイルスソフトです。これにより、未知の脅威に対しても効果的な防御が可能になります。

今回の英国の事例でも、リモートワーク環境からの侵入が疑われています。企業の機密情報にアクセスする際は、信頼性の高いVPN の利用が不可欠です。

特に、業務データを扱う際は、エンタープライズグレードのVPN を選択することで、通信の暗号化と匿名化を同時に実現できます。

技術的な対策だけでなく、従業員への継続的な教育が重要です。フィッシング攻撃の手口は日々巧妙化しており、最新の脅威情報を共有する必要があります。

CMC設立の主な目的の一つは、「システミック・サイバー・イベント」の定義を明確にし、サイバー保険会社が再保険契約を請求できる基準を確立することです。

これは企業にとって非常に重要な意味を持ちます。従来、サイバー攻撃による被害の補償基準が曖昧だったため、保険金の支払いをめぐって紛争が発生するケースが多くありました。

CMCの評価システムにより、以下のメリットが期待されます：

今回の英国の事例は、サイバー攻撃が単なる技術的な問題ではなく、経済全体に影響を与える重大な社会問題であることを示しています。

特に注目すべきは、ハロッズが被害を最小限に抑えることができた点です。同社は攻撃発生時も旗艦店の営業とオンライン販売を継続できており、これは適切な事前対策と緊急時対応計画の重要性を示しています。

870億円規模の経済損失を発生させた今回の攻撃は、もはやサイバーセキュリティが選択肢ではなく必須の経営戦略であることを明確に示しています。

個人や中小企業であっても、適切な対策を講じることで大規模な被害を防ぐことが可能です。特に、信頼性の高いアンチウイルスソフトとVPN の組み合わせは、現在の脅威環境において最も効果的な防御策の一つです。

「明日は我が身」ではなく、「今日が最後のチャンス」という意識で、今すぐサイバーセキュリティ対策を強化することをお勧めします。