英小売り大手マークス＆スペンサー、サイバー攻撃で約579億円の損失見込み|セキュリティニュース

投稿日時: 2025年05月28日更新日時: 2025年05月26日

2025年4月のイースター週末に発生したサイバー攻撃により、英大手小売業のマークス＆スペンサー（Marks & Spencer：以下M&S）は、今後の業績に約600億円（約3億ポンド）の影響が出ると見込んでいます。本記事では、ロンドン証券取引所への開示内容と、海外セキュリティメディアの報道をもとに、今回の被害内容と今後の対応を整理しました。

1 攻撃の概要と影響
2 漏えいした情報の範囲
3 事業への具体的影響
4 情報システム部門が注目すべきポイント

攻撃の概要と影響

2025年4月のイースター週末、英国の大手小売業マークス＆スペンサー（M&S）は大規模なサイバー攻撃を受けました。この攻撃は、同社が外部委託していた業者へのソーシャルエンジニアリングによる侵入をきっかけに、ランサムウェア「DragonForce」または「Scattered Spider」によって実行されたとみられています。

攻撃の結果、M&Sのオンライン注文システムが一時停止に追い込まれ、特に衣料品や生活雑貨、ビューティー商品のオンライン販売に甚大な影響が及びました。また、物流面でも在庫管理が機能不全に陥り、手作業での運用を余儀なくされたことで廃棄ロスや物流コストが増加しました。

食品部門についても、オンライン注文停止の影響は限定的だったものの、同様に廃棄費用などの増加が報告されています。

同社は、このサイバー攻撃によって発生する営業利益の損失を、最大で約579億円（約3億ポンド）と見積もっています。ただし、この金額はサイバー保険による補填などを考慮する前の数値であり、実際の影響額は今後変動する可能性があります。

さらに、攻撃により顧客の氏名、住所、メールアドレス、生年月日、注文履歴、電話番号、一部のクレジットカード情報（カード番号全体は含まれず）などが流出したとされており、プライバシー保護の観点からも深刻な事態となっています。

現在、同社は2025年6月から7月のオンラインサービス再開を目指すとともに、ITシステムの全面的な刷新を進めており、従来2年を予定していた刷新計画を6カ月に短縮する対応を取っています。サプライチェーン管理体制の強化や社内外のセキュリティ教育も含め、再発防止に向けた取り組みが加速しています。

漏えいした情報の範囲

氏名
住所
電話番号
メールアドレス
生年月日
注文履歴
世帯情報
一部のクレジットカード情報（カード番号全体ではなく一部）

決済関連の完全なカード番号やパスワード等、直接的な金融情報は含まれていないとしていますが、顧客プライバシーの観点からも影響は深刻です。

事業への具体的影響

今回のサイバー攻撃により、マークス＆スペンサーの事業運営には大きな影響が出ています。最も大きな打撃を受けたのは、衣料品や生活雑貨、ビューティー商品のオンライン販売です。オンライン注文システムが攻撃により停止し、一定期間、これらのカテゴリの販売を完全に止めざるを得なくなりました。これにより、本来得られるはずだった売上が大幅に失われました。

物流面でも混乱が広がりました。攻撃の影響で在庫管理システムの一部が使用できなくなり、人手による管理に切り替えざるを得ない状況が続きました。その結果、商品廃棄が増加したほか、物流コストも通常時より大きく膨らんでいます。

一方で、食品部門への影響は限定的でした。実店舗での販売は継続しており、日常的な買い物を目的とした来店客の動きに大きな変化は見られていません。ただし、オンラインでの受注停止やシステムの混乱により、こちらでも一部で廃棄ロスが発生し、間接的な損失が生じています。

このように、サイバー攻撃によって主力事業の一つであるオンライン販売が機能不全に陥っただけでなく、バックエンド業務にも支障が出たことで、全社的に多方面にわたる損害が発生しています。今後は、影響を受けた領域の早急な復旧と、再発防止策の具体化が求められています。

情報システム部門が注目すべきポイント

委託先管理の強化
　外部ベンダーを経由した侵入であることから、委託先のセキュリティ対策状況の確認、アクセス制御の徹底が急務です。
多層防御と訓練の実施
　同社は以前からサイバー訓練を行っており、それが今回の初動対応に寄与したとしています。事業継続計画（BCP）やインシデント対応計画の実効性検証が重要です。
サイバー保険の再評価
　保険により一部損失をカバーできたことは、経営リスクの低減に効果的でした。自社の保険契約がランサムウェアやサプライチェーン攻撃をカバーしているか確認しましょう。
システム刷新のスピード感
　同社は危機を契機に、既存のシステム刷新計画を6カ月で実行に移す判断をしています。緊急時には、俊敏な意思決定と優先順位付けが求められます。
顧客との信頼維持
　漏えい対象者への速やかな通知と説明、今後の対策を公表するなど、透明性を持った対応が信頼維持につながります。