今回の犯行声明を出したのは、ランサムウェアをサービス（RaaS：Ransomware as a Service）として展開するサイバー犯罪集団「DragonForce」だ。攻撃の実施には、DragonForceの関連団体「Scattered Spider」などが関与しているとみられる。

　M&Sに加え、今回の攻撃の標的になったもう一社が、消費者協同組合Co-operative Group（Co-op）だ。Co-opのCEO、シリン・クーリー・ハク氏は「攻撃者が非常に高度な技術を持っている」と顧客向けメールで述べた。そのため、攻撃に対処するには、複数のオンラインサービスを停止する必要があったと同氏は説明する。

　今回の攻撃によって、Co-op組合員のデータが流出したとみられる。そのデータには、名前や生年月日、連絡先情報が含まれている。Co-opの説明では、認証情報や購買履歴といったデータは含まれていない。DragonForceはCo-opに対し、盗んだデータを英国の国営放送局BBCに提供したこと、他の英国小売業者も標的リストに載せていることを伝えたという。

　M&Sの内部関係者によると、IT部門のスタッフは今回の攻撃に対処するために、オフィスへの泊まり込みを余儀なくされた。サイバーインシデントへの備えが不十分だったことで社内に混乱が生じており、システムの完全復旧までには相当の時間がかかると同社はみる。英国のセキュリティに関する政府機関である国家サイバーセキュリティセンター（NCSC）は、今回の攻撃の調査に協力する方針を明らかにしている。

DragonForceはどのような集団なのか

　セキュリティベンダーSentinelOneでシニア脅威研究者を務めるジム・ウォルター氏によると、DragonForceはパレスチナ支援を掲げたハクティビスト（政治的な目的でサイバー攻撃を仕掛ける活動家）集団で、マレーシアを拠点としている。2023年夏以降、政治的な目的の攻撃に加え、金銭目的のランサムウェア攻撃も仕掛けていると同氏は説明する。特に狙われているのは、政府機関や特定の政治的目的に賛同する民間企業だ。

　攻撃の手口としてDragonForceは、フィッシングメールや既知の脆弱（ぜいじゃく）性の悪用を組み合わせて標的システムに侵入する。そのために、ITベンダーFortraのペネトレーションテストツール「Cobalt Strike」や、オープンソースの脆弱性検証ツール「Mimikatz」などを使っているという。標的システムに侵入した後は、権限の昇格を実施して他のシステムに幅を広げる。

　ウォルター氏によると、DragonForceは最近、ランサムウェアに独自のブランドを付与できるホワイトラベルサービスを関連団体に提供している。