En abril de 2025, Marks & Spencer, la institución minorista británica con 140 años de historia, sufrió un ataque de ransomware perpetrado por la banda Scattered Spider. Los atacantes obtuvieron acceso durante el fin de semana de Semana Santa y cifraron partes de la infraestructura de M&S. Los clientes reportaron problemas de pago y retrasos en los pedidos en línea, y la empresa se vio obligada a congelar su tienda de ropa en línea durante 46 días mientras reconstruía sus sistemas centrales desde cero.
El impacto financiero fue grave. M&S advirtió a los inversores de un posible impacto de 300 millones de libras en los beneficios, con costes directos estimados en 136 millones de libras. Los beneficios subyacentes antes de impuestos se desplomaron un 55,4 % hasta 184,1 millones de libras en los seis meses posteriores al ataque. El Centro de Vigilancia Cibernética del Reino Unido clasificó el daño combinado de los ataques a M&S y Co-op entre 270 y 440 millones de libras. Los sistemas de almacén quedaron fuera de servicio, algunas tiendas se quedaron sin existencias y la transformación digital de la empresa —un pilar clave de su estrategia de recuperación— quedó efectivamente reiniciada a cero.
El ataque aprovechó una brecha en la postura de ciberseguridad de M&S. La empresa había invertido mucho en la renovación de tiendas y en la innovación de productos, pero había tratado la ciberseguridad como un coste de retaguardia en lugar de un riesgo operativo. El cierre de 46 días de la tienda en línea no supuso solo una pérdida de ingresos: fue un acontecimiento que afectó a la confianza de los clientes, ya que los compradores que se habían pasado a los pedidos en línea durante la interrupción tuvieron que buscar alternativas.
El ataque costó 300 millones de libras en beneficios y una caída del 55,4 %, ya que M&S había tratado la ciberseguridad como un centro de costes, no como un riesgo, sin un plan viable de recuperación ante desastres.
M&S trató la ciberseguridad como un centro de costes, no como un riesgo: la inversión en cortafuegos y respuesta a incidentes nunca estuvo a la altura de la complejidad de la infraestructura que se protegía
El periodo de 46 días sin servicio en línea demostró que M&S no tenía un plan viable de recuperación ante desastres para su plataforma de comercio electrónico, un punto único de fallo para un minorista moderno
El ataque aprovechó una postura de seguridad de «lo justo»: conforme a los estándares mínimos, pero no diseñada para resistir a una banda de ransomware decidida
La infraestructura digital de un minorista es su escaparate, y un ataque de ransomware que lo cierra durante 46 días revela que una seguridad de «lo justo» no es suficiente en absoluto
CONSULTA LAS PRUEBAS