【ITニュース解説】Co-op says it lost $107 million after Scattered Spider attack

Co-opがScattered Spider攻撃で巨額損失を出したニュースは、現代の情報社会におけるサイバーセキュリティの重要性を浮き彫りにしている。イギリスの大手企業Co-operative Group（通称Co-op）が、2025年上半期の暫定決算報告で、昨年4月に受けたサイバー攻撃が原因で約1億700万ドル（約8000万ポンド）もの営業利益損失を計上したと発表した。この事実は、企業が直面するサイバー攻撃のリスクと、その対策がいかに重要であるかをシステムエンジニアを目指す初心者にも強く訴えかけるものだ。

まず、サイバー攻撃とは何かを理解する必要がある。サイバー攻撃とは、コンピュータシステムやネットワークに対して、悪意を持った第三者が不正にアクセスしたり、データを盗んだり、改ざんしたり、システムを停止させたりする行為の総称だ。その目的は金銭の窃取、企業秘密の入手、嫌がらせなど多岐にわたる。Co-opのケースでは、Scattered Spiderと呼ばれるサイバー犯罪グループが攻撃を実行した。Scattered Spiderは、特定の業界や企業に狙いを定め、非常に巧妙な手口で侵入を試みるハッカー集団として知られている。彼らは、人の心理的な隙を突く「ソーシャルエンジニアリング」や、本人確認の仕組みである「多要素認証（MFA）」をすり抜ける技術など、高度な手法を駆使して標的のシステムに侵入することが多い。

Co-opが受けた被害は単に金銭的な損失にとどまらない。1億700万ドルという巨額の営業利益損失は、企業活動が大きく阻害された結果として生じたものだ。サイバー攻撃によって情報システムが停止したり、データが利用できなくなったりすると、商品の供給、顧客サービス、経理処理など、企業のあらゆる業務が滞る。Co-opのような小売業では、商品の発注・在庫管理、店舗での決済システム、オンラインストアの運営などが停止すれば、顧客へのサービス提供が困難になり、信頼の失墜にもつながる。また、攻撃を受けた後の対応にも多大なコストがかかる。攻撃の調査、システムからのマルウェア駆除、セキュリティの脆弱性の修正、バックアップからのシステム復旧、そして再発防止のための新たなセキュリティ対策の導入など、目に見えない復旧費用や人件費も莫大になる。これらは、ニュース記事に記載された「営業利益損失」の内訳の一部を構成していると考えられる。

システムエンジニアを目指す皆さんにとって、このニュースは非常に重要な教訓を含んでいる。現代において、ITシステムは企業の基盤であり、それを守るサイバーセキュリティはシステムエンジニアの職務において最も重要な要素の一つとなっている。Scattered Spiderのような高度な攻撃グループが存在する現実を理解し、彼らの手口からシステムを保護する方法を学ぶことは不可欠だ。

具体的に、システムエンジニアとしてどのような点を意識すべきか。第一に、予防策の徹底である。強固なパスワードポリシーの導入はもちろん、多要素認証（MFA）の適切な設定と利用者への周知は基本中の基本だ。MFAはパスワードだけでなく、スマートフォンアプリなどで生成されるコードや指紋認証などを組み合わせて本人確認を行うことで、たとえパスワードが漏洩しても不正アクセスを防ぐ効果がある。しかし、Scattered Spiderのような攻撃者はこのMFAをバイパスする手口も使うため、システムの設計段階から多層的な防御を考える必要がある。

次に、システムの脆弱性管理だ。ソフトウェアやOSには常に新たな脆弱性（セキュリティ上の弱点）が見つかる。これらの脆弱性を解消するためのセキュリティパッチは速やかに適用し、システムの保守・運用を怠らないことが重要だ。定期的な脆弱性診断やペネトレーションテスト（模擬的なサイバー攻撃を実施してシステムの弱点を探すテスト）も有効な手段となる。

さらに、インシデント対応計画の策定も極めて重要だ。もしサイバー攻撃を受けてしまった場合、どうすれば被害を最小限に抑え、迅速に復旧できるかを事前に計画しておく必要がある。これには、攻撃を検知する仕組み、攻撃を受けた際のシステム停止手順、データの隔離、バックアップからの復旧手順、顧客や関係機関への情報開示の方法などが含まれる。Co-opの件でも、攻撃後の対応がどれだけ適切だったかによって、損失額が大きく変動した可能性も考えられる。

そして、最も重要なのは、システムを開発・運用するチーム全体のセキュリティ意識の向上である。どんなに優れたセキュリティシステムを導入しても、それを扱う人間のミスや油断があれば、攻撃者はそこを突いてくる。ソーシャルエンジニアリングはまさに人の心理を悪用する手口であり、従業員一人ひとりがセキュリティ意識を持ち、不審なメールや連絡に注意を払うことが何よりも重要だ。システムエンジニアは、技術的な対策だけでなく、組織全体のセキュリティ文化を醸成する役割も担うことになる。

Co-opの事例は、サイバー攻撃が単なるITの問題ではなく、企業の存続すら脅かす経営上のリスクであることを示している。システムエンジニアを目指す皆さんは、単にシステムを構築するだけでなく、そのシステムをあらゆる脅威から守り、安全に運用する責任がある。このニュースを他山の石とし、情報セキュリティの知識と技術を深く学び、将来のキャリアにおいて強固なITインフラを支える人材として成長してほしい。サイバーセキュリティは、現代のシステムエンジニアにとって避けては通れない、最も基礎的かつ重要な知識分野の一つだと言える。