Кибератака на Ahold Delhaize вынудила одного из крупнейших продуктовых ритейлеров Европы отключить часть ИТ-систем, сайтов и приложений сразу в США и Европе. Физические магазины продолжают работать, но сбой затронул большинство брендов группы — хороший, хотя и неприятный, пример того, почему у распределённого бизнеса план изоляции сети важнее красивой презентации по киберрискам.
О том, что инцидент стал следствием «злонамеренных действий» третьих лиц, компания сообщила 19 октября, передаёт The Register. Первое краткое уведомление Ahold Delhaize выпустила 12 октября: тогда ритейлер говорил о проблеме безопасности в сети и об отключении части систем для локализации угрозы. Неделей позже компания уточнила масштаб: предосторожность затронула активы большинства её брендов в Европе и Соединённых Штатах.
Президент и гендиректор Ahold Delhaize Франс Мюллер заявил, что отключение систем было превентивной мерой защиты, а ход расследования подтвердил правильность этого решения. Пока компания не обнаружила признаков компрометации конфиденциальных данных покупателей, сотрудников или партнёров. Это важная оговорка, но не окончательный вердикт: при крупных инцидентах анализ журналов, конечных точек и резервных копий обычно занимает заметно больше недели.
Компания уведомила Национальный центр кибербезопасности Нидерландов, а 19 октября подала заявление в полицию. Ни группировка, ни способ первоначального проникновения, ни предполагаемый выкуп не названы. Поэтому связывать атаку с конкретным семейством вредоносного ПО или делать выводы о шифровании инфраструктуры пока рано.
Сервисы возвращают по частям
Восстановление идёт не одним большим переключателем. Сайт и приложение голландской сети Albert Heijn уже снова доступны, а возобновление доставки на дом компания ожидала в пятницу. Бельгийская электронная коммерция, по её данным, работает полностью. Также возвращены сайты Etos и Gall & Gall, а в Центральной и Юго-Восточной Европе доступна большая часть сайтов и приложений группы.
Американские онлайн-сервисы Food Lion, Giant Food, Martin’s, Hannaford и Stop & Shop должны заработать «в ближайшие дни». Такая последовательность выглядит логично: после киберинцидента команде недостаточно поднять фронтенд и проверить, что открывается главная страница. Нужно удостовериться, что сервисы не подключаются к скомпрометированным сегментам, корректно работают каталог, учётные записи, платежи, логистика и интеграции с поставщиками. В продуктовом ритейле даже несколько недоступных связок могут быстро превратить техническую проблему в пустые полки или сорванные доставки.
На этом фоне особенно показательна формулировка о работающих офлайн-магазинах. Ритейлер сумел отделить критичные операции торговых точек от части цифрового контура либо сохранить их в доступном режиме. Для ИТ-директоров это не повод расслабиться, а напоминание о цене сегментации: сети, кассы, складские системы, программы лояльности, мобильные приложения и e-commerce часто развиваются разными командами, но для атакующего становятся одной картой доступа.
Второй серьёзный инцидент за два года
Нынешняя кибератака на Ahold Delhaize — уже второй крупный инцидент для группы за два года. После взлома в ноябре 2024 года проблемы ощутили разные бренды: отдельные магазины Stop & Shop испытывали сложности с отпуском рецептурных препаратов, а сотрудники Food Lion сообщали о задержках и пропавших поставках. Ответственность за тот эпизод заявляла группировка INC Ransom, опубликовавшая документы, которые, как утверждалось, были получены из систем ритейлера.
Позднее Ahold Delhaize пришла к выводу, что в результате атаки 2024 года были скомпрометированы данные более 2,2 млн человек, включая персональную, финансовую и медицинскую информацию. Этот опыт объясняет, почему в новом случае компания выбрала жёсткую тактику и отключила часть систем до того, как картина стала полностью ясной. Для бизнеса несколько дней недоступного приложения — болезненная метрика. Но ущерб от распространения злоумышленников по сети, утечки данных и многомесячных уведомлений пострадавших обычно куда дороже.
The Register также указывает, что компания не ответила на вопрос о возможной связи с атаками на контроллеры холодильного оборудования во французских супермаркетах, начавшимися 11 октября. По сообщениям о тех атаках, температура в холодильных установках поднималась до 50 °C, что приводило к порче продуктов и в отдельных случаях к пожарам. Прямой связи между событиями нет, и выдавать совпадение дат за установленный факт было бы тем самым любимым жанром постинцидентных спекуляций.
Главный вопрос теперь не в том, когда вернутся все приложения Ahold Delhaize, а в том, окажется ли изоляция систем достаточной, чтобы избежать новой утечки. Ритейлу, разработчикам платформ и поставщикам операционных технологий этот случай напоминает простую вещь: отказоустойчивость — не только про резервный дата-центр, но и про способность быстро выключить заражённый контур, не остановив продажи. Подробности заявления компании доступны в материале .