M&S ließ einen externen Helpdesk jedes Passwort per Telefon zurücksetzen – Hacker mussten nur danach fragen

Rund um das Osterwochenende 2025 drang die Hackergruppe Scattered Spider in Marks & Spencer ein – nicht durch eine technische Schwachstelle, sondern indem sie den IT-Helpdesk anrief, den M&S an Tata Consultancy Services ausgelagert hatte, und sich als M&S-Mitarbeiter ausgab. Der Helpdesk führte für den Anrufer eine Passwortzurücksetzung durch. Reuters berichtete später, dass bei dem Eindringen Logins von mindestens zwei TCS-Mitarbeitern verwendet wurden. M&S-Vorsitzender Archie Norman beschrieb dies gegenüber britischen Abgeordneten als eine „raffinierte Identitätstäuschung“ („sophisticated impersonation“), an der „ein Dritter beteiligt“ gewesen sei – er nannte die Methode, ohne die Schwachstelle zu benennen.

Einmal im System, setzten die Angreifer die Ransomware DragonForce ein. M&S schaltete seine automatisierten Bestands- und Lagersysteme ab, statt zu riskieren, dass diese den Angriff weiter verbreiten, sodass die Mitarbeiter auf manuelle Prozesse mit Stift und Papier zurückgriffen, um frische Lebensmittel, Getränke und Kleidung durch Filialen und Lager zu bewegen. Die Online-Bestellung von Kleidung und Haushaltswaren war wochenlang ausgesetzt; der Online-Verkauf von Lebensmitteln und Kosmetik war länger beeinträchtigt. Einen Monat nach dem Angriff war der Online-Kleidungsservice von M&S noch immer offline.

M&S bezifferte die Kosten auf rund 300 Millionen Pfund (etwa 400 Millionen US-Dollar) an entgangenem Betriebsgewinn über die Jahre 2025 und 2026, was das Unternehmen durch Versicherung und Kostenmanagement etwa halbieren wollte. Das Cyber Monitoring Centre schätzte später den Gesamtschaden aus dem Angriff auf M&S und einem damit zusammenhängenden Angriff auf die Co-op – derselbe Akteur, ähnlicher Zeitrahmen, ähnliche Techniken – auf 270–440 Millionen Pfund für beide Einzelhändler zusammen. Der Marktwert von M&S fiel um mehr als 1 Milliarde Pfund.

Ein halbes Jahr nach dem Angriff beendete M&S seinen Helpdesk-Dienstleistungsvertrag mit TCS. Beide Unternehmen erklärten, die Entscheidung sei bereits vor dem Sicherheitsvorfall getroffen worden und keine Reaktion darauf gewesen, doch der Zeitpunkt ließ den ausgelagerten Helpdesk – den tatsächlichen Einstiegspunkt – als sichtbares Opfer eines Vorfalls erscheinen, dessen Ursache ein Prozess und nicht ein System war.

Scattered Spider gab sich am Telefon als Mitarbeiter aus, erwirkte eine Passwortzurücksetzung, und die darauffolgende Ransomware kostete M&S rund 300 Millionen Pfund.

Der Helpdesk, den M&S an Tata Consultancy Services ausgelagert hatte, konnte die Zugangsdaten eines Mitarbeiters allein aufgrund eines Telefonanrufs zurücksetzen, ohne einen Verifizierungsschritt, den eine Identitätstäuschung nicht überwinden konnte.

Bei dem Eindringen wurden mindestens zwei echte TCS-Mitarbeiter-Logins verwendet – die Angreifer gelangten über Zugangsdaten, die der Helpdesk selbst kontrollierte, in die Systeme, nicht über eine technische Schwachstelle.

M&S hatte seine Bestands- und Lagersysteme so eng automatisiert, dass deren Abschaltung zur Eindämmung der Ransomware auch bedeutete, dass kein manueller Prozess bereitstand, um das Geschäft ohne sie zu führen.

Die Auslagerung des Helpdesks verlagerte eine Funktion mit hohen Privilegien – die Möglichkeit, den Zugang jedes Mitarbeiters zurückzusetzen – außerhalb der direkten Sicherheitskultur und Aufsicht von M&S.

Ein Helpdesk, der jedes Passwort per Telefonanruf zurücksetzen kann, ist ein einzelner Ausfallpunkt, den keine Firewall schützt – dieser Angriff begann mit einem Gespräch, nicht mit einer technischen Ausnutzung.

M&S stellte die Online-Bestellung von Kleidung und Haushaltswaren in den folgenden Wochen wieder her und den Betrieb in den Bereichen Lebensmittel/Kosmetik schrittweise bis Mitte 2025, wobei die Beeinträchtigung bis in den Juli 2025 nachwirkte. Etwa ein halbes Jahr später beendete das Unternehmen seinen Helpdesk-Vertrag mit TCS. Das Cyber Monitoring Centre stufte die Vorfälle bei M&S und der Co-op angesichts des gemeinsamen Angreifers, des Zeitrahmens und der Methoden als ein einziges „systemisches Ereignis der Kategorie 2“ ein, und der Social-Engineering-Ansatz über den Helpdesk wurde als Vorlage gekennzeichnet, die auch gegen andere große Organisationen verwendet wurde, darunter in der US-Versicherungsbranche.