Retail · 2025
Marks & Spencer: ciberataque y pedidos interrumpidos
Cuarenta y seis días sin pedidos en línea.
Qué ocurrió
En abril de 2025, Marks & Spencer tuvo fallas en pagos y Click & Collect y después suspendió los pedidos por internet y app mientras contenía un ciberataque. Las tiendas dependieron de procesos manuales de inventario, la disponibilidad de productos se deterioró y los pedidos en línea no regresaron hasta el 10 de junio, 46 días después. M&S también confirmó el robo de algunos datos personales, pero no publicó una cifra total de clientes afectados.
El presidente de M&S declaró ante el Parlamento que los atacantes obtuvieron acceso inicial el 17 de abril mediante suplantación sofisticada, ingeniería social y un tercero. La campaña utilizó métodos asociados con Scattered Spider y ransomware DragonForce, y después se expandió desde una identidad confiable hacia el entorno más amplio de la cadena. Las autoridades británicas detuvieron a cuatro personas en julio de 2025 como parte de la investigación.
M&S pronosticó inicialmente una reducción cercana a £300M en su utilidad operativa antes de mitigaciones. Sus resultados anuales para el periodo terminado en marzo de 2026 reportaron después £131.3M en costos relacionados con el incidente.
Qué lo habría cambiado
El soporte de terceros y los sistemas heredados forman parte de la misma superficie de ataque. Probamos la recuperación de identidades, los controles de proveedores, la segmentación y los procedimientos manuales que mantienen las ventas.