アホールド・デルハイズでサイバーセキュリティインシデント、米欧のスーパーでネット注文・配送が停止―2024年には224万人の情報流出

オランダに本拠を置く小売大手Ahold Delhaize（アホールド・デルハイズ）は2026年10月12日、グループのネットワークでセキュリティ上の問題が発生し、被害の拡大を防ぐため一部のシステムを停止したと発表しました。米国、オランダ、ベルギーのスーパーなどでECサイトやアプリ、配送・物流、顧客サービスに影響が出ています。一方、実店舗は営業を継続しています。

同社が10月13日に公表した続報によると、一部システムの段階的な再稼働が始まりました。調査は続いていますが、同日時点で顧客・従業員のデータが持ち出されたことを示す証拠は確認されていないとしています。攻撃手法や侵入経路、ランサムウェアの関与は明らかにされていません。

Ahold Delhaizeのサイバーセキュリティ問題のサマリー

• 2026年10月11日午後、オランダのAlbert Heijn、Etos、Gall & Gallでサービス障害が発生。
• 10月12日、親会社Ahold Delhaizeがグループネットワーク内のセキュリティ問題を公表。予防措置として一部システムを停止。
• 米国ではFood Lion、Stop & Shop、Hannaford、Giant Food、The GIANT CompanyなどのWebサイト・アプリに障害が報告された。
• オランダではネットスーパーの注文・配送停止、ポイント・割引機能の一部停止、電子棚札の価格表示の不整合、商品の補充への影響が発生。
• ベルギーのDelhaizeでもオンライン注文や顧客対応に制限が生じた。
• 欧米のグループ各ブランドの店舗は営業を継続し、オランダのAlbert Heijnはレジ決済も維持。
• 10月13日、一部システムの段階的再稼働を開始。Albert Heijnでは電子棚札の通常価格表示が復旧し、複数の物流センターで出荷が再開。
• 10月13日の企業発表では、顧客・従業員情報の持ち出しを示す証拠は確認されていない。

オランダではネット配送・電子棚札・ポイントサービスに影響

Albert Heijnが公開した時系列情報によると、同社とドラッグストアのEtos、酒類小売店のGall & Gallでは、10月11日午後からサイバーセキュリティ問題への対応が始まりました。店舗は営業を続けたものの、Webサイト、アプリ、顧客窓口などが一時的に利用できなくなりました。物流システムの一部も予防的に停止し、インターネットで購入した商品の配送を停止しています。

10月12日には電子棚札に前週のキャンペーン価格が表示される不整合も発生しました。レジでの決済は可能でしたが、棚札とレジの金額が一致しない場面が生じたことになります。一般向けのBonus割引は適用された一方、個別クーポンや一部ポイント・積立サービスは利用できない状態となりました。

10月13日17時30分（現地時間）のAlbert Heijnの発表では、電子棚札に表示される通常価格は修復されました。ただし、最新のBonus割引価格は棚札へ完全には反映されておらず、レジでは割引を適用すると説明しています。また、KoopzegelsやAir Miles、個別の優待・割引には引き続き制限が残っていました。同社は購入時のレシートを保管するよう案内しています。

商品の補充については、複数の物流センターが稼働を再開し、臨時の追加配送も実施しています。ただし、生鮮野菜や果物などは店舗によって品ぞろえへの影響が残る可能性があると説明。オンライン注文・配達や顧客窓口については、同発表の時点では復旧していませんでした。既に支払った注文の補償についても案内しています。

こうした細かな影響は、単に「スーパーのWebサイトが停止した」という事象にとどまりません。基幹システムの隔離が、受発注・在庫補充・価格表示・顧客向け特典など、店頭の運営にまで波及するケースです。

米国はFood LionやStop & ShopなどのWebサイト・アプリが停止、ベルギーでも注文制限

米国では10月12日、Food Lion、Stop & Shop、Hannaford、Giant Food、The GIANT Companyの5ブランドのWebサイトが利用できない状況を、米小売業界メディアGrocery Diveが確認しました。翌13日もFood LionやStop & ShopでWebサイト・アプリの停止が報じられています。Food Lionは、一部の第三者配送サービス経由での注文は可能とし、未履行の自社オンライン注文は返金すると案内していました。

ベルギーではDelhaizeでもオンライン注文・配送関連のサービスや顧客窓口に影響が生じました。現地報道によると、DelhaizeのWebサイトとアプリは利用可能な部分があった一方、新たな注文の受け付けが制限されていました。Ahold Delhaizeは、予防措置の影響範囲はブランドによって異なると説明しています。

同社は10月13日の続報で、外部のサイバーセキュリティ専門家と協力し、関係当局にも必要な連絡を取りながら調査を進めていると発表しました。ただし、システム停止が攻撃そのものによるものか、被害拡大を防止するための隔離措置によるものかは、個々の障害について切り分けられていません。

2024年にも不正アクセス、過去には224万2,521人の情報が流出

Ahold Delhaizeは2024年11月にも、米国内の業務システムへのサイバー攻撃を受けています。2025年6月26日の米国子会社Ahold Delhaize USA Servicesの公式説明によると、2024年11月5日から6日にかけて内部のファイル保管領域から第三者が情報を取得していました。

当時の調査では、現職・元従業員、扶養家族などに関する氏名、連絡先、生年月日、社会保障番号（SSN）や運転免許証・旅券番号などの本人確認情報、銀行口座情報、雇用・健康関連情報が影響対象に含まれました。すべての対象者が同じ情報項目を流出させたわけではありません。

米メーン州司法長官事務所への届出では、影響を受けた人数は224万2,521人と記録されています。2025年6月から対象者への通知と、希望者に対する2年間の信用監視・ID保護サービスの提供が実施されました。

ただし、これは2024年の別事案に関する確定した過去情報です。2026年10月の今回のセキュリティ問題で同じ人数の情報が流出したわけではなく、両事件に共通の攻撃者や侵入経路があると確認されたものでもありません。

小売業の情シスが点検したい、店舗・物流・ECの切り分け

今回の障害では、実店舗のレジ決済が維持される一方で、オンライン販売や配送、価格表示、会員向けの販促サービスに影響が及びました。小売・流通企業では、インシデント対応計画を作成する際に、システム単体の復旧より先に次の点を確認しておくと、業務停止の範囲を判断しやすくなります。

1. EC、在庫・発注、物流センター、店舗POS、電子棚札、会員・ポイント管理の相互依存関係を把握し、どの機能を隔離しても店舗営業を継続できるか整理する。
2. システムの隔離が必要になった場合、通常の配送が止まっても店舗への補充を優先できる代替手順や出荷指示方法を検証する。
3. 価格表示とレジの価格が食い違う場合の案内方法、個別割引・ポイント機能が停止した場合の補償とレシート保存の運用を決めておく。
4. Webサイト・アプリ・コールセンターが同時に停止しても、店頭掲示や別系統の広報チャネルで顧客へ連絡できるようにする。
5. 復旧段階では、システムを一斉に再接続せず、侵害調査と安全性の検証を経て機能ごとに再稼働させる。

また、グループ内でブランドや国が分かれている企業は、共通基盤の障害がどこまで波及するかを把握する必要があります。海外子会社を含めた評価項目の共通化については、セキュリティ対策Labのグループ会社のセキュリティ基準を統一して評価するための資料で整理しています。

現時点で焦点となるのは、障害の原因が何かという推測ではなく、どの業務が停止し、どこまで安全に再稼働できたかという事実です。Ahold Delhaizeと各ブランドの公式更新に沿って、情報漏えいの有無とサービス復旧状況を分けて確認する必要があります。

出典

• Ahold Delhaize takes precautionary measures following cybersecurity incident（2026年10月12日）―Ahold Delhaize
• Update on Ahold Delhaize’s cybersecurity incident（2026年10月13日）―Ahold Delhaize
• Mediastatement inzake cybersecurity incident（10月13日17時30分更新）―Albert Heijn
• Ahold Delhaize USA Services, LLC Provides Update on Cybersecurity Issue（2025年6月26日）―Ahold Delhaize USA
• Notice of Data Breach（2025年6月26日）―Ahold Delhaize USA Services
• Ahold Delhaize USA Services, LLC―Data Breach Notices（2025年）―Maine Attorney General
• Ahold Delhaize experiencing cybersecurity issue（2026年10月12日）―Grocery Dive
• Geen bezorging en verkeerde winkelprijzen na ‘cyberveiligheidsincident’ bij Albert Heijn（2026年10月12日）―NOS
• Cyberattaque chez Delhaize : les systèmes redémarrent progressivement（2026年10月13日）―RTL Info / Belga