M&S permitió que el servicio de asistencia de un contratista restableciera cualquier contraseña por teléfono: los hackers solo tuvieron que pedirlo

Alrededor del fin de semana de Pascua de 2025, el grupo de hackers Scattered Spider vulneró Marks & Spencer no mediante un exploit técnico, sino llamando al servicio de asistencia informática que M&S había externalizado a Tata Consultancy Services y haciéndose pasar por un empleado de M&S. El servicio de asistencia realizó un restablecimiento de contraseña para quien llamó. Reuters informó posteriormente de que en la intrusión se utilizaron inicios de sesión pertenecientes a al menos dos empleados de TCS. El presidente de M&S, Archie Norman, lo describió ante los legisladores británicos como una operación de «suplantación sofisticada» «en la que participó un tercero», nombrando el método sin nombrar el punto débil.

Una vez dentro, los atacantes desplegaron el ransomware DragonForce. M&S apagó sus sistemas automatizados de existencias e inventario en lugar de arriesgarse a que propagaran más el ataque, por lo que el personal volvió a procesos manuales, con papel y bolígrafo, para mover alimentos frescos, bebidas y ropa por las tiendas y almacenes. Los pedidos en línea de ropa y hogar se suspendieron durante semanas; las ventas en línea de alimentación y belleza se interrumpieron durante más tiempo. Un mes después del ataque, el servicio de ropa en línea de M&S seguía inactivo.

M&S cifró el coste en aproximadamente 300 millones de libras (unos 400 millones de dólares) en beneficio operativo perdido entre 2025 y 2026, que esperaba reducir aproximadamente a la mitad mediante seguros y gestión de costes. El Cyber Monitoring Centre evaluó posteriormente el daño combinado del ataque a M&S y otro relacionado en Co-op —mismo actor de amenaza, cronología similar, técnicas similares— en 270–440 millones de libras entre ambos minoristas. El valor de mercado de M&S cayó en más de 1000 millones de libras.

Seis meses después del ataque, M&S puso fin a su contrato de servicios de asistencia con TCS. Ambas empresas declararon que la decisión era anterior a la brecha y no una respuesta a ella, pero el momento dejó al servicio de asistencia externalizado —el punto de entrada real— como la víctima visible de una brecha cuya causa raíz era un proceso, no un sistema.

Scattered Spider se hizo pasar por un empleado por teléfono, consiguió un restablecimiento de contraseña, y el ransomware que siguió le costó a M&S aproximadamente 300 millones de libras.

El servicio de asistencia que M&S externalizó a Tata Consultancy Services podía restablecer las credenciales de un empleado con solo una llamada telefónica, sin ningún paso de verificación que la suplantación no pudiera superar.

En la intrusión se utilizaron al menos dos inicios de sesión genuinos de empleados de TCS: los atacantes llegaron a los sistemas mediante credenciales que controlaba el propio servicio de asistencia, no mediante una vulnerabilidad técnica.

M&S había automatizado sus sistemas de existencias e inventario de forma tan estrecha que apagarlos para contener el ransomware también significó que no tenía ningún proceso manual listo para operar el negocio sin ellos.

Externalizar el servicio de asistencia trasladó una función de altos privilegios —la capacidad de restablecer el acceso de cualquier empleado— fuera de la cultura de seguridad y la supervisión directas de M&S.

Un servicio de asistencia que puede restablecer la contraseña de cualquiera con una llamada telefónica es un punto único de fallo que ningún cortafuegos protege: este ataque comenzó con una conversación, no con un exploit técnico.

M&S restableció los pedidos en línea de ropa y hogar a lo largo de las semanas siguientes y las operaciones de alimentación y belleza progresivamente hasta mediados de 2025, con la cola de la interrupción prolongándose hasta julio de 2025. Puso fin a su contrato de servicio de asistencia con TCS unos seis meses después. El Cyber Monitoring Centre clasificó los incidentes de M&S y Co-op como un único «evento sistémico de categoría 2», dado el atacante, el momento y los métodos compartidos, y el enfoque de ingeniería social contra el servicio de asistencia se señaló como una plantilla utilizada contra otras grandes organizaciones, incluso en el sector de seguros de EE. UU.