M&S、委託先のヘルプデスクが電話一本で任意のパスワードをリセット——ハッカーはただ電話で頼んだだけ

2025年のイースターの週末前後、ハッキンググループScattered Spiderは、技術的な脆弱性を突くのではなく、M&SがTata Consultancy Servicesに外部委託していたITヘルプデスクに電話をかけ、M&Sの従業員になりすましてMarks & Spencerに侵入した。ヘルプデスクは発信者のためにパスワードのリセットを実行した。ロイターは後に、少なくとも2名のTCS従業員のログイン情報がこの侵入に使われたと報じた。M&S会長のArchie Normanは英国の議員に対し、これを「第三者が関与する」「巧妙ななりすまし」作戦と表現し、手法には言及したものの弱点には触れなかった。

内部に侵入した攻撃者は、DragonForceランサムウェアを展開した。M&Sは攻撃がさらに広がるリスクを避けるため、自動化された在庫・棚卸システムを停止した。そのため従業員は、生鮮食品、飲料、衣料品を店舗や倉庫に流通させるために、手作業の紙とペンによるプロセスに戻らざるを得なかった。衣料品と家庭用品のオンライン注文は数週間にわたって停止され、食品と美容品のオンライン販売はさらに長く混乱した。攻撃から1か月後も、M&Sの衣料品オンラインサービスは依然として停止していた。

M&Sは、2025年と2026年にわたる営業利益の損失を約3億ポンド（約4億ドル）と見積もり、保険とコスト管理によってこれをほぼ半減させたいとしていた。その後、Cyber Monitoring Centreは、M&Sへの攻撃と、同一の脅威アクター、類似の時期、類似の手法によるCo-opへの関連攻撃を合わせた被害額を、両小売業者合計で2億7,000万〜4億4,000万ポンドと評価した。M&Sの時価総額は10億ポンド以上減少した。

攻撃から6か月後、M&SはTCSとのヘルプデスクサービス契約を終了した。両社は、この決定は侵害発生前からあったものであり、侵害への対応ではないと述べたが、そのタイミングにより、実際の侵入経路であった外部委託のヘルプデスクが、根本原因がシステムではなくプロセスにあった侵害の目に見える犠牲者として残った。

Scattered Spiderは電話で従業員になりすましてパスワードのリセットを受け、その後に発生したランサムウェア攻撃により、M&Sは約3億ポンドの損失を被った。

M&SがTata Consultancy Servicesに外部委託したヘルプデスクは、電話一本だけで従業員の認証情報をリセットでき、なりすましに破られない検証手順は存在しなかった。

少なくとも2名の正規のTCS従業員のログイン情報がこの侵入に使われた。攻撃者は技術的な脆弱性ではなく、ヘルプデスク自身が管理する認証情報を通じてシステムに到達した。

M&Sは在庫・棚卸システムの自動化を緊密に進めていたため、ランサムウェアを封じ込めるためにそれらを停止することは、それらなしで業務を遂行する手作業のプロセスが準備されていなかったことも意味した。

ヘルプデスクの外部委託により、任意の従業員のアクセスをリセットできるという高い権限を持つ機能が、M&Sの直接のセキュリティ文化と監督の外に移された。

電話一本で誰のパスワードでもリセットできるヘルプデスクは、どのファイアウォールも守れない単一障害点である。この攻撃は技術的な脆弱性ではなく、会話から始まった。

M&Sはその後数週間にわたって衣料品と家庭用品のオンライン注文を復旧し、食品・美容品の業務は2025年半ばにかけて段階的に復旧したが、混乱の影響は2025年7月まで尾を引いた。同社は約6か月後にTCSとのヘルプデスク契約を終了した。Cyber Monitoring Centreは、攻撃者、時期、手法が共通していることから、M&SとCo-opの事案を単一の「カテゴリー2のシステム的インシデント」に分類し、ヘルプデスクを悪用したソーシャルエンジニアリングの手法は、米国の保険業界を含む他の大規模組織に対して用いられたテンプレートとして指摘された。