M&S a laissé le service d'assistance d'un prestataire réinitialiser n'importe quel mot de passe par téléphone — les pirates n'ont eu qu'à demander

Autour du week-end de Pâques 2025, le groupe de pirates Scattered Spider a compromis Marks & Spencer non pas par une faille technique, mais en appelant le service d'assistance informatique que M&S avait externalisé à Tata Consultancy Services et en se faisant passer pour un employé de M&S. Le service d'assistance a procédé à une réinitialisation de mot de passe pour l'appelant. Reuters a ensuite rapporté que les identifiants de connexion d'au moins deux employés de TCS avaient été utilisés lors de l'intrusion. Le président de M&S, Archie Norman, l'a décrit devant les parlementaires britanniques comme une opération de « usurpation d'identité sophistiquée » « impliquant un tiers » — nommant la méthode sans nommer le point faible.

Une fois à l'intérieur, les attaquants ont déployé le rançongiciel DragonForce. M&S a désactivé ses systèmes automatisés de gestion des stocks et des inventaires plutôt que de risquer qu'ils propagent davantage l'attaque, si bien que le personnel est revenu à des processus manuels, au stylo et au papier, pour acheminer les produits frais, les boissons et les vêtements dans les magasins et les entrepôts. La commande en ligne de vêtements et d'articles pour la maison a été suspendue pendant des semaines ; les ventes en ligne de produits alimentaires et de beauté ont été perturbées plus longtemps. Un mois après l'attaque, le service de vente en ligne de vêtements de M&S était toujours hors service.

M&S a estimé le coût à environ 300 millions de livres sterling (environ 400 millions de dollars) de perte de bénéfice d'exploitation sur 2025 et 2026, qu'elle espérait à peu près réduire de moitié grâce à l'assurance et à la maîtrise des coûts. Le Cyber Monitoring Centre a ensuite évalué le dommage combiné de l'attaque contre M&S et d'une attaque liée contre le Co-op — même acteur de la menace, calendrier similaire, techniques similaires — à 270–440 millions de livres sterling pour les deux détaillants. La valeur boursière de M&S a chuté de plus de 1 milliard de livres sterling.

Six mois après l'attaque, M&S a mis fin à son contrat de services d'assistance avec TCS. Les deux entreprises ont déclaré que la décision était antérieure à la violation et ne constituait pas une réponse à celle-ci, mais le calendrier a laissé le service d'assistance externalisé — le véritable point d'entrée — comme la victime visible d'une violation dont la cause profonde était un processus, et non un système.

Scattered Spider s'est fait passer pour un employé par téléphone, a obtenu une réinitialisation de mot de passe, et le rançongiciel qui a suivi a coûté à M&S environ 300 millions de livres sterling.

Le service d'assistance que M&S avait externalisé à Tata Consultancy Services pouvait réinitialiser les identifiants d'un employé sur la base d'un simple appel téléphonique, sans étape de vérification que l'usurpation d'identité ne pouvait pas contourner.

Au moins deux identifiants de connexion authentiques d'employés de TCS ont été utilisés lors de l'intrusion — les attaquants ont atteint les systèmes grâce à des identifiants que le service d'assistance lui-même contrôlait, et non par une vulnérabilité technique.

M&S avait automatisé ses systèmes de gestion des stocks et des inventaires de manière si étroite que leur arrêt pour contenir le rançongiciel signifiait aussi qu'aucun processus manuel n'était prêt pour faire fonctionner l'entreprise sans eux.

L'externalisation du service d'assistance a déplacé une fonction à hauts privilèges — la capacité de réinitialiser l'accès de n'importe quel employé — en dehors de la culture de sécurité et de la supervision directes de M&S.

Un service d'assistance capable de réinitialiser le mot de passe de n'importe qui sur un appel téléphonique est un point de défaillance unique qu'aucun pare-feu ne protège — cette attaque a commencé par une conversation, et non par une faille technique.

M&S a rétabli la commande en ligne de vêtements et d'articles pour la maison au cours des semaines suivantes et les opérations alimentaires et de beauté progressivement jusqu'au milieu de 2025, les perturbations se prolongeant jusqu'en juillet 2025. Elle a mis fin à son contrat de service d'assistance avec TCS environ six mois plus tard. Le Cyber Monitoring Centre a classé les incidents de M&S et du Co-op comme un seul « événement systémique de catégorie 2 » compte tenu de l'attaquant, du calendrier et des méthodes communs, et l'approche d'ingénierie sociale via le service d'assistance a été signalée comme un modèle utilisé contre d'autres grandes organisations, y compris dans l'assurance aux États-Unis.