M&S 讓外包商的服務台可透過電話重設任何密碼——駭客就只是開口要求

2025 年復活節週末前後，駭客組織 Scattered Spider 入侵 Marks & Spencer，並非透過技術漏洞，而是致電 M&S 外包給 Tata Consultancy Services 的 IT 服務台，冒充 M&S 員工。服務台為來電者執行了密碼重設。路透社後來報導，入侵行動中使用了至少兩名 TCS 員工的登入憑證。M&S 董事長 Archie Norman 向英國國會議員形容，這是「涉及第三方」的「精密冒充」行動——點出了手法，卻未點名弱點所在。

進入系統後，攻擊者部署了 DragonForce 勒索軟體。M&S 關閉自動化庫存與盤點系統，以免攻擊進一步擴散，員工因此改以人工、紙筆流程，將生鮮食品、飲料與服飾運送進出各門市與倉庫。線上服飾與家居訂購暫停數週；食品與美妝的線上銷售中斷更久。攻擊發生一個月後，M&S 的線上服飾服務仍未恢復。

M&S 估計 2025 與 2026 兩年合計損失約 3 億英鎊（約 4 億美元）的營業利潤，並希望透過保險與成本管理將損失大致減半。Cyber Monitoring Centre 後來評估，M&S 攻擊與 Co-op 一起相關事件（同一威脅行為者、時間相近、手法相似）合計對這兩家零售商造成 2.7 億至 4.4 億英鎊的損失。M&S 市值下跌超過 10 億英鎊。

攻擊發生六個月後，M&S 終止與 TCS 的服務台服務合約。兩家公司均表示，這項決定早於此次入侵，並非對此事的回應，但時機使外包服務台——實際的入侵入口——成為這起入侵事件中顯而易見的犧牲品，而其根本原因在於流程，而非系統。

Scattered Spider 透過電話冒充員工，取得密碼重設，隨後發生的勒索軟體攻擊使 M&S 損失約 3 億英鎊。

M&S 外包給 Tata Consultancy Services 的服務台，僅憑一通電話就能重設員工憑證，沒有任何冒充者無法突破的驗證步驟。

入侵行動中使用了至少兩名真實 TCS 員工的登入憑證——攻擊者透過服務台本身所控制的憑證進入系統，而非利用技術漏洞。

M&S 的庫存與盤點系統自動化程度極高，以致關閉這些系統以遏制勒索軟體時，也意味著沒有現成的人工流程可維持業務運作。

將服務台外包，等於把一項高權限職能——重設任何員工存取權的能力——移出 M&S 直接的安全文化與監督範圍。

能憑一通電話重設任何人密碼的服務台，是防火牆保護不了的單一失效點——這起攻擊始於一場對話，而非技術漏洞。

M&S 在接下來數週內恢復線上服飾與家居訂購，食品與美妝業務則在 2025 年中逐步恢復，中斷的餘波延續至 2025 年 7 月。約六個月後，M&S 終止與 TCS 的服務台合約。Cyber Monitoring Centre 鑑於攻擊者、時機與手法相同，將 M&S 與 Co-op 事件歸類為單一「第 2 類系統性事件」，並指出這種服務台社交工程手法已被標記為範本，用於攻擊其他大型組織，包括美國保險業。