M&S, 계약업체 헬프데스크가 전화만으로 모든 비밀번호를 재설정하도록 허용 — 해커들은 그저 요청했을 뿐

2025년 부활절 연휴 무렵, 해킹 그룹 Scattered Spider는 기술적 취약점을 통해서가 아니라 M&S가 Tata Consultancy Services에 외주로 맡긴 IT 헬프데스크에 전화를 걸어 M&S 직원을 사칭함으로써 Marks & Spencer를 침해했다. 헬프데스크는 발신자에 대해 비밀번호 재설정을 실행했다. 로이터는 이후 최소 두 명의 TCS 직원 계정 로그인이 침입에 사용되었다고 보도했다. M&S 회장 Archie Norman은 영국 의원들에게 이를 '제3자가 관여한' '정교한 사칭' 작전이라고 설명했다. 즉 방법은 밝혔지만 취약 지점은 지목하지 않았다.

일단 내부에 들어온 공격자들은 DragonForce 랜섬웨어를 배포했다. M&S는 자동화된 재고 및 재고 관리 시스템이 공격을 더 확산시킬 위험을 피하기 위해 해당 시스템을 껐고, 직원들은 신선식품, 음료, 의류를 매장과 창고로 이동시키기 위해 수작업, 즉 종이와 펜 방식으로 되돌아갔다. 온라인 의류 및 홈 주문은 수 주 동안 중단되었고, 식품 및 뷰티 온라인 판매는 더 오래 차질을 빚었다. 공격 한 달 후에도 M&S의 온라인 의류 서비스는 여전히 오프라인이었다.

M&S는 2025년과 2026년에 걸쳐 약 3억 파운드(약 4억 달러)의 영업이익 손실로 비용을 추산했으며, 보험과 비용 관리를 통해 이를 대략 절반으로 줄이기를 기대했다. 사이버 모니터링 센터는 이후 M&S 공격과 관련된 Co-op 공격(동일 위협 행위자, 유사한 시기, 유사한 수법)의 결합 피해를 두 소매업체 합산 2억 7천만~4억 4천만 파운드로 평가했다. M&S의 시장 가치는 10억 파운드 이상 하락했다.

공격 6개월 후, M&S는 TCS와의 헬프데스크 서비스 계약을 종료했다. 두 회사 모두 이 결정이 침해 이전에 이미 내려진 것이며 이에 대한 대응이 아니라고 밝혔지만, 시점상 실제 진입점이었던 외주 헬프데스크가 시스템이 아닌 프로세스가 근본 원인이었던 침해의 가시적 희생양으로 남았다.

Scattered Spider는 전화로 직원을 사칭해 비밀번호 재설정을 받아냈고, 뒤이은 랜섬웨어로 M&S는 약 3억 파운드의 비용을 치렀다.

M&S가 Tata Consultancy Services에 외주로 맡긴 헬프데스크는 사칭이 뚫을 수 없는 검증 절차 없이 전화 한 통만으로 직원의 자격 증명을 재설정할 수 있었다.

최소 두 개의 실제 TCS 직원 로그인이 침입에 사용되었다. 공격자들은 기술적 취약점이 아니라 헬프데스크 자체가 통제하던 자격 증명을 통해 시스템에 접근했다.

M&S는 재고 및 재고 관리 시스템을 매우 긴밀하게 자동화해 두었기 때문에, 랜섬웨어를 억제하기 위해 이를 중단하면 그것 없이 사업을 운영할 수동 프로세스가 준비되어 있지 않았다.

헬프데스크를 외주화함으로써 모든 직원의 접근 권한을 재설정할 수 있는 고권한 기능이 M&S의 직접적인 보안 문화와 감독 범위 밖으로 이동했다.

전화 한 통으로 누구의 비밀번호든 재설정할 수 있는 헬프데스크는 어떤 방화벽도 보호하지 못하는 단일 실패 지점이다. 이 공격은 기술적 취약점이 아니라 대화에서 시작되었다.

M&S는 이후 수 주에 걸쳐 온라인 의류 및 홈 주문을 복구했고, 식품/뷰티 운영은 2025년 중반까지 점진적으로 복구했으며 차질의 여파는 2025년 7월까지 이어졌다. 약 6개월 후 TCS와의 헬프데스크 계약을 종료했다. 사이버 모니터링 센터는 공격자, 시기, 수법이 공통된다는 점에서 M&S와 Co-op 사건을 단일 '카테고리 2 시스템적 사건'으로 분류했으며, 헬프데스크 사회공학적 접근 방식은 미국 보험업을 포함한 다른 대형 조직에도 사용된 템플릿으로 지목되었다.