Em abril de 2025, a Marks & Spencer, instituição varejista britânica de 140 anos, foi atingida por um ataque de ransomware executado pelo grupo Scattered Spider. Os atacantes obtiveram acesso durante o fim de semana de Páscoa, criptografando partes da infraestrutura da M&S. Clientes relataram problemas de pagamento e atrasos em pedidos online, e a empresa foi forçada a congelar sua loja de roupas online por 46 dias enquanto reconstruía os sistemas centrais do zero.
O impacto financeiro foi severo. A M&S alertou os investidores sobre um possível impacto de £300 milhões no lucro, com custos diretos estimados em £136 milhões. O lucro antes de impostos subjacente despencou 55,4%, para £184,1 milhões, nos seis meses seguintes ao ataque. O Cyber Monitoring Centre do Reino Unido classificou o dano combinado dos ataques à M&S e à Co-op entre £270 milhões e £440 milhões. Os sistemas de armazém ficaram offline, prateleiras esvaziaram-se em algumas lojas, e a transformação digital da empresa — pilar central de sua estratégia de recuperação — foi efetivamente zerada.
O ataque explorou uma lacuna na postura de cibersegurança da M&S. A empresa havia investido pesadamente na reforma de lojas e na inovação de produtos, mas tratava a cibersegurança como um custo de retaguarda, e não como um risco operacional. O fechamento da loja online por 46 dias não foi apenas uma perda de receita — foi um evento de confiança do cliente, pois compradores que haviam migrado para pedidos online durante a interrupção tiveram de buscar alternativas.
O ataque custou £300M em lucro e uma queda de 55,4%, pois a M&S tratava a cibersegurança como um centro de custo, não como um risco, sem nenhum plano viável de recuperação de desastres.
A M&S tratava a cibersegurança como um centro de custo, não como um risco — o investimento em firewalls e resposta a incidentes nunca acompanhou a complexidade da infraestrutura protegida
O período de 46 dias offline mostrou que a M&S não tinha um plano viável de recuperação de desastres para sua plataforma de comércio eletrônico — um ponto único de falha para um varejista moderno
O ataque explorou uma postura de segurança de 'o suficiente' — em conformidade com padrões mínimos, mas não projetada para resistir a um grupo determinado de ransomware
A lição
A infraestrutura digital de um varejista é sua vitrine — e um ataque de ransomware que a fecha por 46 dias revela que segurança de 'o suficiente' não é suficiente de forma alguma
CONFIRA AS EVIDÊNCIAS