M&S permitiu que o help desk de uma contratada redefinisse qualquer senha por telefone — os hackers só precisaram pedir

Por volta do fim de semana da Páscoa de 2025, o grupo hacker Scattered Spider invadiu a Marks & Spencer não por meio de uma exploração técnica, mas ligando para o help desk de TI que a M&S havia terceirizado para a Tata Consultancy Services e se passando por um funcionário da M&S. O help desk realizou uma redefinição de senha para o interlocutor. A Reuters relatou posteriormente que logins pertencentes a pelo menos dois funcionários da TCS foram usados na intrusão. O presidente da M&S, Archie Norman, descreveu o episódio a legisladores britânicos como uma operação de "personificação sofisticada" "envolvendo um terceiro" — nomeando o método sem nomear o ponto fraco.

Uma vez dentro, os atacantes implantaram o ransomware DragonForce. A M&S desligou seus sistemas automatizados de estoque e inventário em vez de arriscar que eles propagassem o ataque, de modo que a equipe voltou a processos manuais, com papel e caneta, para movimentar alimentos frescos, bebidas e roupas pelas lojas e armazéns. Os pedidos online de roupas e artigos para o lar ficaram suspensos por semanas; as vendas online de alimentos e beleza foram interrompidas por mais tempo. Um mês após o ataque, o serviço online de roupas da M&S ainda estava fora do ar.

A M&S estimou o custo em cerca de £300 milhões (aproximadamente US$400 milhões) em lucro operacional perdido ao longo de 2025 e 2026, que esperava reduzir aproximadamente pela metade por meio de seguro e gestão de custos. O Cyber Monitoring Centre avaliou posteriormente o dano combinado do ataque à M&S e de um ataque relacionado ao Co-op — mesmo agente de ameaça, cronologia semelhante, técnicas semelhantes — em £270–440 milhões somando os dois varejistas. O valor de mercado da M&S caiu mais de £1 bilhão.

Seis meses após o ataque, a M&S encerrou seu contrato de serviços de help desk com a TCS. Ambas as empresas afirmaram que a decisão era anterior à invasão e não uma resposta a ela, mas o momento deixou o help desk terceirizado — o ponto de entrada efetivo — como a baixa visível de uma invasão cuja causa raiz foi um processo, não um sistema.

O Scattered Spider se passou por um funcionário por telefone, obteve uma redefinição de senha, e o ransomware que se seguiu custou à M&S cerca de £300 milhões.

O help desk que a M&S terceirizou para a Tata Consultancy Services podia redefinir as credenciais de um funcionário com base em uma ligação telefônica, sem nenhuma etapa de verificação que a personificação não pudesse contornar.

Pelo menos dois logins genuínos de funcionários da TCS foram usados na intrusão — os atacantes chegaram aos sistemas por meio de credenciais que o próprio help desk controlava, não por uma vulnerabilidade técnica.

A M&S havia automatizado seus sistemas de estoque e inventário de forma tão estreita que desligá-los para conter o ransomware também significou não ter nenhum processo manual pronto para operar o negócio sem eles.

Terceirizar o help desk transferiu para fora da cultura de segurança e da supervisão diretas da M&S uma função de alto privilégio — a capacidade de redefinir o acesso de qualquer funcionário.

Um help desk que pode redefinir a senha de qualquer pessoa em uma ligação telefônica é um ponto único de falha que nenhum firewall protege — este ataque começou com uma conversa, não com uma exploração técnica.

A M&S restaurou os pedidos online de roupas e artigos para o lar ao longo das semanas seguintes e as operações de alimentos/beleza progressivamente até meados de 2025, com a cauda da interrupção se estendendo até julho de 2025. Encerrou seu contrato de help desk com a TCS cerca de seis meses depois. O Cyber Monitoring Centre classificou os incidentes da M&S e do Co-op como um único "evento sistêmico de Categoria 2", dado o agente, o momento e os métodos compartilhados, e a abordagem de engenharia social contra o help desk foi sinalizada como um modelo usado contra outras grandes organizações, inclusive no setor de seguros dos EUA.