Marks & Spencer: Ransomware cuesta 101,6 millones de libras

El 17 de abril de 2025, unos atacantes accedieron a los sistemas de Marks & Spencer mediante una suplantación de identidad. En respuesta al ataque de ransomware, la cadena desconectó sus sistemas de gestión de almacenes y tuvo que suspender la venta online. En las 26 semanas hasta el 27 de septiembre de 2025 registró 101,6 millones de libras en costes directos.

Relacionado: Luna Moth llama como soporte de TI y extorsiona a despachos

La situación de Marks & Spencer

Marks & Spencer es una cadena británica con las divisiones Food, Fashion, Home & Beauty e International. En el ejercicio 2024/25, que comprendió las 52 semanas hasta el 29 de marzo de 2025, el grupo obtuvo una facturación de 13.816,8 millones de libras. Además de comprar en tiendas, los clientes hacían pedidos por webs y aplicaciones, usaban Click & Collect o encargaban productos directamente en el establecimiento. Click & Collect consiste en hacer un pedido online y recogerlo después en la tienda. Poco después del cierre del ejercicio, estos canales quedaron paralizados.

Cronología del ataque

Según el presidente Archie Norman, los atacantes obtuvieron el primer acceso a los sistemas el 17 de abril de 2025 mediante una sofisticada suplantación de identidad en la que participó un tercero. En una suplantación de identidad, los atacantes se hacen pasar por una persona autorizada para obtener accesos o privilegios. El 8 de julio de 2025, Norman compareció ante la subcomisión competente de la Cámara de los Comunes británica. Según declaró, se trató de un ataque de ransomware que buscaba, al menos en parte, un rescate o una extorsión.

Entre ambas fechas transcurrieron las semanas de crisis aguda. El 25 de abril de 2025, Marks & Spencer suspendió la aceptación de pedidos a través de sus webs y aplicaciones. El 13 de mayo de 2025, la empresa hizo público que se habían robado datos personales de clientes.

La decisión de desconectar la gestión de almacenes

La suspensión de pedidos formó parte de la respuesta al ciberincidente. La intervención de mayor alcance afectó a la logística. Tras el ataque, Marks & Spencer desconectó sus sistemas de gestión de almacenes, el software que controla las existencias y los movimientos de mercancías entre almacenes, tiendas y clientes. La desconexión de los sistemas de gestión de almacenes obligó a la empresa a suspender los pedidos online, Click & Collect y los pedidos en tienda.

Así, la respuesta afectó directamente a la actividad operativa. La medida alcanzó a tres canales de venta a la vez, todos dependientes de la misma gestión de almacenes.

Recuperación y costes

La recuperación se produjo por etapas. En junio de 2025, Marks & Spencer reanudó las entregas a domicilio y, en agosto de 2025, Click & Collect. Las divisiones se recuperaron a distinta velocidad. El negocio de alimentación se había recuperado en gran medida para la publicación del informe semestral del 5 de noviembre de 2025. En Fashion, Home & Beauty la recuperación fue más lenta, porque la complejidad de los sistemas dificultó el flujo de mercancías.

En las 26 semanas hasta el 27 de septiembre de 2025, el grupo registró costes directos del ciberincidente por 101,6 millones de libras. Correspondían a la restauración de sistemas, la gestión de riesgos y el asesoramiento especializado.

Conclusiones para los CISO de la región DACH

Del caso se desprenden cuatro conclusiones para los responsables de seguridad.

1. Verificación de identidad en el servicio de asistencia. El Centro Nacional de Ciberseguridad británico (NCSC) recomendó a las empresas el 4 de mayo de 2025, ante los ataques a minoristas, revisar los procesos de restablecimiento de contraseñas de los servicios de asistencia. Esto se aplica especialmente a las cuentas privilegiadas con permisos ampliados, como las de administradores. La verificación de identidad antes de restablecer una contraseña forma parte de los controles de seguridad.
2. Autenticación multifactor. El NCSC también recomendó implantar la autenticación multifactor de forma generalizada, de modo que, además de la contraseña, se necesite una segunda prueba, como un código de un solo uso.
3. Conocer las dependencias. En Marks & Spencer, la desconexión de la gestión de almacenes paralizó varios canales de venta. Para los ejercicios de recuperación, esto implica identificar los procesos de negocio que dependen de un sistema desconectado durante una emergencia.
4. Practicar ambos aspectos conjuntamente. La verificación de identidades en los puntos de contacto con soporte y las consecuencias operativas de desconectar un sistema deben formar parte del mismo ejercicio de recuperación. En Marks & Spencer, ambos coincidieron en un solo incidente, desde el acceso por suplantación de identidad hasta la desconexión de la gestión de almacenes.

Preguntas frecuentes

Cada pregunta está cerrada. Con un toque se desbloquea la respuesta.

¿Qué datos de clientes se vieron afectados en Marks & Spencer?

Según informó la empresa el 13 de mayo de 2025, se robaron datos personales de clientes. No incluían datos de pago o de tarjetas utilizables ni contraseñas de cuentas. En ese momento no había pruebas de que los datos se hubieran compartido.

¿Tuvieron que hacer algo los clientes tras el ataque?

Según informó la empresa el 13 de mayo de 2025, los clientes no tenían que hacer nada de inmediato. Sin embargo, se les pediría cambiar la contraseña en su siguiente visita o inicio de sesión.

¿Qué vigilancia adicional recomendó el NCSC?

Además de revisar los procesos de los servicios de asistencia e implantar la autenticación multifactor de forma generalizada, el NCSC recomendó reforzar la vigilancia del uso no autorizado de cuentas. Esto incluía expresamente los inicios de sesión sospechosos. La recomendación del 4 de mayo de 2025 se refería a los ataques contra minoristas.

Fuente de la imagen: generada por IA (noviembre de 2026)

Traducido del original en alemán con inteligencia artificial. La versión alemana es la de referencia.