Last Updated on 2024-12-12 19:06 by admin
米国のドーナツチェーン大手Krispy Kremeが2024年11月29日にサイバー攻撃を受けた。
影響範囲
- オンライン注文システムが停止（米国の一部地域）
- デジタル売上の15.5%に影響（2024年第3四半期の実績）
- 世界1,521店舗、15,800の販売拠点に展開
- 実店舗の営業とマクドナルドなどパートナー店への配送は通常通り継続
企業の対応
- 外部サイバーセキュリティ専門家を起用
- 連邦法執行機関へ通報
- SECへの報告書（Form 8-K）を提出
- サイバー保険による損失補填を予定
from:Krispy Kreme Doughnut Delivery Gets Cooked in Cyberattack
【編集部解説】
今回のKrispy Kremeへのサイバー攻撃は、小売業界における新たなセキュリティリスクを浮き彫りにしました。特に注目すべきは、攻撃者が企業のデジタルトランスフォーメーション（DX）の要となるオンライン注文システムを標的にした点です。
デジタル売上が全体の15.5%を占めるKrispy Kremeにとって、このタイミングでの攻撃は極めて戦略的でした。ホリデーシーズン中の攻撃は、最も売上が見込める時期だけに、経営への打撃が大きくなります。
特筆すべきは、同社のインシデント対応の迅速さです。IT系統と実店舗の運営を分離していたことで、店舗営業や配送パートナーへの影響を最小限に抑えることができました。これは、現代のサイバーセキュリティ対策において、システムの分離・独立性の重要性を示しています。
しかし、懸念されるのはサプライチェーンへの影響です。Krispy Kremeは米国内400店舗以外にも、マクドナルドなど多数の販売パートナーを持っています。こうした複雑なサプライチェーンネットワークは、二次攻撃の標的となるリスクを抱えています。
さらに重要な点として、この事例は企業のサイバーセキュリティ保険の重要性を示しています。Krispy Kremeは保険でコストを相殺できる見込みですが、これは今後の企業経営において、サイバーセキュリティ保険が事業継続計画（BCP）の重要な要素となることを示唆しています。
今後の展望と対策
このような攻撃は、デジタル化を進める企業にとって他人事ではありません。特に注目すべきは、オペレーショナルテクノロジー（OT）とIT環境の分離です。Krispy Kremeの事例では、生産システムへの影響を防げたことが、被害の局所化につながりました。
企業は今後、以下の点に特に注意を払う必要があります：
- システムの分離・独立性の確保
- サプライチェーン全体のセキュリティ強化
- インシデント対応計画の定期的な見直し
- サイバーセキュリティ保険の適切な活用
デジタル化が進む現代において、サイバーセキュリティは経営戦略の中核を担うものとなっています。今回の事例は、その重要性を改めて示す警鐘となりました。