玛莎百货让外包服务台可以通过一通电话重置任何密码——黑客只是开口问了一句

2025 年复活节前后，黑客组织 Scattered Spider 入侵玛莎百货所依赖的并非技术漏洞，而是打电话给玛莎百货外包给塔塔咨询服务公司（TCS）的 IT 服务台，冒充一名玛莎百货员工。服务台为这名来电者执行了密码重置。路透社后来报道称，此次入侵中被使用的是至少两名 TCS 员工的登录凭证。玛莎百货董事长 Archie Norman 向英国议员将其描述为一次「涉及第三方」的「高明的身份冒用」行动——他点出了手法，却没有点出真正的薄弱环节。

入侵得手后，攻击者部署了 DragonForce 勒索软件。为避免自动化库存管理系统进一步扩散攻击，玛莎百货直接关闭了这些系统，员工不得不改用纸笔手工流程，把生鲜食品、饮料和服装在门店和仓库之间调配。服装和家居用品的线上订购服务暂停了数周；食品和美妆的线上销售中断时间更长。事发一个月后，玛莎百货的线上服装服务仍未恢复。

玛莎百货估计，2025 年至 2026 年间因此损失的营业利润约达 3 亿英镑（约合 4 亿美元），公司希望通过保险和成本管理将这一损失减半。网络监测中心（Cyber Monitoring Centre）后来评估，玛莎百货此次攻击与合作社（Co-op）遭遇的一次相关攻击——同一威胁行为者、相近的时间线、相似的手法——两家零售商合计损失 2.7 亿至 4.4 亿英镑。玛莎百货的市值蒸发超过 10 亿英镑。

事发六个月后，玛莎百货终止了与 TCS 的服务台合同。双方均表示这一决定早于此次泄露事件、并非对其的回应，但这个时间点，让这个被外包出去的服务台——真正的入侵入口——成了这起根源在于流程而非系统的泄露事件中，唯一可见的「牺牲品」。

损失利润约 3 亿英镑（约 4 亿美元），市值蒸发超 10 亿英镑

玛莎百货外包给塔塔咨询服务公司的服务台，仅凭一通电话就能重置员工的登录凭证，没有任何能够抵御身份冒用的验证环节

此次入侵中至少使用了两名真实 TCS 员工的登录凭证——攻击者是通过服务台自己掌控的凭证进入系统的，而不是通过某个技术漏洞

玛莎百货的库存管理系统自动化程度极高，以至于为遏制勒索软件而将其关闭时，公司根本没有准备好可以脱离这些系统运转业务的手工流程

把服务台外包出去，把一项高权限的功能——重置任何员工访问权限的能力——移出了玛莎百货自身直接的安全文化和监管范围

一个能凭一通电话就重置任何人密码的服务台，是一个没有任何防火墙能够保护的单点故障——这次攻击始于一次对话，而不是一次技术漏洞利用

玛莎百货在此后几周内恢复了线上服装和家居用品订购，食品/美妆业务在 2025 年年中逐步恢复，余波一直持续到 2025 年 7 月。大约六个月后，公司终止了与 TCS 的服务台合同。网络监测中心鉴于攻击者、时间和手法的共性，将玛莎百货和合作社的两起事件归类为同一起「二级系统性事件」，服务台社会工程学攻击手法也被标记为一种模板，此后被用于针对其他大型机构，包括美国的保险业。