M&S 的 3 億英鎊勒索軟體攻擊——幾乎讓其利潤減半的網路入侵事件

2025 年 4 月，擁有 140 年歷史的英國零售機構 Marks & Spencer 遭到 Scattered Spider 集團發動的勒索軟體攻擊。攻擊者在復活節週末期間取得存取權限，加密了 M&S 部分基礎設施。顧客反映出現付款問題及線上訂單延誤，該公司被迫凍結其線上服飾商店 46 天，同時從零重建核心系統。

財務衝擊十分嚴重。M&S 向投資者警告可能面臨 3 億英鎊的利潤損失，直接成本估計為 1.36 億英鎊。攻擊發生後的六個月內，基本稅前利潤暴跌 55.4% 至 1.841 億英鎊。英國網路監測中心將 M&S 與 Co-op 遭攻擊的合計損失評定為 2.7 億至 4.4 億英鎊之間。倉庫系統離線，部分門市貨架被清空，而該公司數位轉型——其扭虧為盈策略的關鍵支柱——實際上被歸零。

此次攻擊利用了 M&S 網路安全防護態勢中的缺口。該公司曾在門市翻新與產品創新上投入大量資源，卻將網路安全視為後勤成本，而非營運風險。線上商店關閉 46 天不僅是營收損失——更是一起顧客信任事件，因為在混亂期間轉向線上訂購的消費者不得不尋找替代方案。

此次攻擊造成 3 億英鎊的利潤損失及 55.4% 的跌幅，因為 M&S 將網路安全視為成本中心而非風險，且沒有可行的災難復原計畫。

M&S 將網路安全視為成本中心而非風險——其在防火牆與事件應變上的投資，始終未能跟上所保護基礎設施的複雜程度

46 天的離線期間顯示，M&S 對其電子商務平台沒有可行的災難復原計畫——這是現代零售商單一的故障點

此次攻擊利用了「剛好足夠」的安全態勢——符合最低標準，但並非為抵禦堅決的勒索軟體集團而設計

零售商的數位基礎設施就是其店面——而一場使其關閉 46 天的勒索軟體攻擊揭示，「剛好足夠」的安全其實根本不夠