En avril 2025, Marks & Spencer, institution britannique du commerce de détail forte de 140 ans d'existence, a été victime d'une attaque par rançongiciel menée par le gang Scattered Spider. Les attaquants ont obtenu l'accès pendant le week-end de Pâques, chiffrant certaines parties de l'infrastructure de M&S. Des clients ont signalé des problèmes de paiement et des retards dans les commandes en ligne, et l'entreprise a été contrainte de geler sa boutique de vêtements en ligne pendant 46 jours, le temps de reconstruire ses systèmes essentiels à partir de zéro.
L'impact financier a été grave. M&S a averti les investisseurs d'un manque à gagner potentiel de 300 millions de livres sterling sur ses bénéfices, les coûts directs étant estimés à 136 millions de livres sterling. Le bénéfice avant impôt sous-jacent a chuté de 55,4 % pour s'établir à 184,1 millions de livres sterling au cours des six mois suivant l'attaque. Le Cyber Monitoring Centre britannique a évalué les dommages combinés des attaques contre M&S et Co-op entre 270 millions et 440 millions de livres sterling. Les systèmes d'entrepôt sont tombés en panne, les rayons se sont vidés dans certains magasins, et la transformation numérique de l'entreprise — pilier essentiel de sa stratégie de redressement — a été de fait ramenée à zéro.
L'attaque a exploité une faille dans la posture de cybersécurité de M&S. L'entreprise avait massivement investi dans la rénovation de ses magasins et l'innovation produit, mais avait traité la cybersécurité comme un coût de structure plutôt que comme un risque opérationnel. La fermeture de la boutique en ligne pendant 46 jours n'a pas seulement représenté une perte de revenus — ce fut un événement de perte de confiance des clients, car les acheteurs qui s'étaient tournés vers la commande en ligne pendant la perturbation ont dû trouver des alternatives.
L'attaque a coûté 300 M£ de bénéfices et une chute de 55,4 %, car M&S avait traité la cybersécurité comme un centre de coûts, et non comme un risque, sans plan de reprise après sinistre viable.
M&S traitait la cybersécurité comme un centre de coûts, et non comme un risque — les investissements dans les pare-feu et la réponse aux incidents n'ont jamais suivi le rythme de la complexité de l'infrastructure à protéger
La période de 46 jours hors ligne a montré que M&S n'avait pas de plan de reprise après sinistre viable pour sa plateforme de commerce électronique — un point de défaillance unique pour un détaillant moderne
L'attaque a exploité une posture de sécurité « juste ce qu'il faut » — conforme aux normes minimales, mais pas conçue pour résister à un gang de rançongiciels déterminé
La leçon
L'infrastructure numérique d'un détaillant est sa vitrine — et une attaque par rançongiciel qui la ferme pendant 46 jours révèle qu'une sécurité « juste ce qu'il faut » ne suffit pas du tout
VÉRIFIEZ LES SOURCES