M&S4億円被害の衝撃！企業を襲うサイバー攻撃の実態と今すぐできる対策

英国大手企業M&Sが被った4億円超の損失 – サイバー攻撃の恐ろしい実態

2024年4月、英国の老舗小売大手マークス・アンド・スペンサー（M&S）がサイバー攻撃を受け、約4億900万ドル（約4億円）という巨額の損失を計上しました。この攻撃により、同社のオンラインショッピングサービスは約7週間にわたって停止に追い込まれました。

現役CSIRTメンバーとして多くのサイバーインシデントに対応してきた私から見ても、この事件は企業が直面するサイバーリスクの深刻さを如実に物語っています。

M&Sの会長アーチー・ノーマン氏は、今回の攻撃にアジアを拠点とするランサムウェア（身代金要求型ウイルス）のハッカー集団が関わっていたと明かしました。身代金の支払いについては言及を避けましたが、7週間という長期間の復旧時間を考えると、被害の深刻さが伺えます。

実は、日本でも同様の深刻なサイバー攻撃が頻発しています。フォレンジック調査を行った実例をいくつか紹介しましょう。

従業員50名の製造業で、メールの添付ファイルからランサムウェアが侵入。設計図や顧客情報が暗号化され、復旧まで3週間を要しました。売上機会の損失だけで約2000万円の被害となりました。

職員のパソコンがマルウェアに感染し、住民データベースへの不正アクセスが発生。個人情報約5万件が流出リスクにさらされ、対応費用として約1億円が必要となりました。

開発サーバーが不正アクセスを受け、顧客企業のソースコードが窃取されました。信頼失墜により既存契約の30%を失い、経営危機に陥りました。

– システム復旧費用
– 身代金の支払い（推奨されませんが）
– 売上機会の損失

– 顧客の信頼失墜
– ブランドイメージの悪化
– 法的責任の発生

– 競争優位性の喪失
– 人材の流出
– 事業継続の困難

**1. 信頼性の高いアンチウイルスソフトの導入**
M&Sの事例のように、組織的なサイバー攻撃は日々進化しています。個人レベルでも企業レベルでも、最新の脅威に対応できる高性能なセキュリティソフトの導入は必須です。

**2. 通信の暗号化**
リモートワークが増えた現在、社外からの業務アクセスにはVPN を使用し、通信経路を暗号化することが重要です。

**3. 定期的な脆弱性診断**
企業のWebサイトやシステムの脆弱性を定期的にチェックするWebサイト脆弱性診断サービスを活用し、攻撃の入り口を事前に塞ぐことが効果的です。

**従業員教育の徹底**
– フィッシングメールの識別訓練
– パスワード管理の強化
– インシデント発生時の対応手順の共有

**バックアップシステムの構築**
– 定期的なデータバックアップ
– オフライン環境での保管
– 復旧テストの実施

**インシデント対応計画の策定**
– 被害発生時の連絡体制
– 関係機関への報告手順
– 復旧作業の優先順位

M&Sの会長は、重大なサイバー攻撃を受けた企業に対し、英国家サイバー・セキュリティー・センター（NCSC）への通報を義務化すべきだと提案しました。これは、「かなりの数」の深刻なサイバー攻撃が通報されていない現状を受けてのものです。

日本でも同様の課題があり、企業は攻撃を受けても風評被害を恐れて公表を避ける傾向があります。しかし、情報共有により他の企業の被害を防ぐことができるため、積極的な情報開示が求められています。

多くのサイバーインシデントに対応してきた経験から、以下の点を強調したいと思います：

攻撃を受けてからの対応では、被害を最小限に抑えることしかできません。事前の対策投資が、結果的に大きなコスト削減につながります。

サイバー攻撃の手法は日々進化しています。一度対策を講じても、定期的な見直しと改善が必要です。

社内だけでの対策には限界があります。外部の専門家やサービスを活用し、多層的な防御体制を構築することが重要です。

M&Sの事例は、どれほど大きな企業でもサイバー攻撃の脅威から逃れることはできないことを示しています。4億円という巨額の損失と7週間のサービス停止は、企業にとって致命的な打撃となりかねません。

現在、サイバー攻撃は「いつか起こるかもしれない」リスクではなく、「いつ起こってもおかしくない」現実の脅威となっています。特に中小企業は大企業に比べてセキュリティ対策が手薄になりがちで、攻撃者に狙われやすい状況にあります。

個人レベルでも企業レベルでも、今すぐできる対策から始めることが重要です。高品質なアンチウイルスソフトの導入、安全な通信のためのVPN の活用、そして企業であればWebサイト脆弱性診断サービスによる定期的な脆弱性チェックなど、基本的な対策を着実に実施していきましょう。

サイバーセキュリティは「コスト」ではなく「投資」です。M&Sの事例を教訓に、被害を受ける前に適切な対策を講じることが、企業の持続的な成長と発展につながるのです。