{"id":25762,"date":"2026-10-07T07:00:00","date_gmt":"2026-10-07T07:00:00","guid":{"rendered":"https:\/\/www.securitytoday.de\/?p=25762"},"modified":"2026-11-03T09:40:12","modified_gmt":"2026-11-03T09:40:12","slug":"marks-spencer-ransomware-cuesta-101-6-millones-de-libras","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/es\/2026\/10\/07\/marks-spencer-ransomware-cuesta-101-6-millones-de-libras\/","title":{"rendered":"Marks &#038; Spencer: Ransomware cuesta 101,6 millones de libras"},"content":{"rendered":"<p><strong>El 17 de abril de 2025, unos atacantes accedieron a los sistemas de Marks &amp; Spencer mediante una suplantaci\u00f3n de identidad. En respuesta al ataque de ransomware, la cadena desconect\u00f3 sus sistemas de gesti\u00f3n de almacenes y tuvo que suspender la venta online. En las 26 semanas hasta el 27 de septiembre de 2025 registr\u00f3 101,6 millones de libras en costes&nbsp;directos.<\/strong><\/p>\n<div style=\"background:#003340;color:#fff;padding:32px 36px;margin:32px 0;border-radius:8px;\">\n<p style=\"color:#69d8ed;text-transform:uppercase;letter-spacing:0.08em;font-size:0.82em;font-weight:700;margin:0 0 16px;\">Lo esencial en breve<\/p>\n<ul style=\"margin:0;padding-left:20px;line-height:1.7;\">\n<li style=\"margin-bottom:10px;\"><strong style=\"color:#69d8ed;\">El acceso se produjo el 17 de abril de 2025 mediante una suplantaci\u00f3n de identidad.<\/strong> Seg\u00fan el presidente Archie Norman, un tercero particip\u00f3 en la obtenci\u00f3n del&nbsp;acceso.<\/li>\n<li style=\"margin-bottom:10px;\"><strong style=\"color:#69d8ed;\">La desconexi\u00f3n de la gesti\u00f3n de almacenes paraliz\u00f3 la venta online y Click &amp; Collect.<\/strong> Las entregas a domicilio se reanudaron en junio de 2025 y Click &amp; Collect en agosto de&nbsp;2025.<\/li>\n<li style=\"margin-bottom:0;\"><strong style=\"color:#69d8ed;\">Los costes directos ascendieron a 101,6 millones de libras.<\/strong> Marks &amp; Spencer los registr\u00f3 en las 26 semanas hasta el 27 de septiembre de 2025 por restauraci\u00f3n de sistemas, gesti\u00f3n de riesgos y asesoramiento&nbsp;especializado.<\/li>\n<\/ul>\n<\/div>\n<p style=\"border-bottom:1px solid rgba(230,227,218,0.14);padding:14px 0;margin:28px 0;font-size:0.92em;color:#b8c5ce;\"><strong style=\"color:#69d8ed;\">Relacionado:<\/strong> <a href=\"https:\/\/www.securitytoday.de\/2026\/10\/17\/luna-moth-ruft-als-it-support-an-und-erpresst-kanzleien\/\" target=\"_blank\" rel=\"noopener\">Luna Moth llama como soporte de TI y extorsiona a&nbsp;despachos<\/a><\/p>\n<h2>La situaci\u00f3n de Marks &amp;&nbsp;Spencer<\/h2>\n<p>Marks &amp; Spencer es una cadena brit\u00e1nica con las divisiones Food, Fashion, Home &amp; Beauty e International. En el ejercicio 2024\/25, que comprendi\u00f3 las 52 semanas hasta el 29 de marzo de 2025, el grupo obtuvo una <a href=\"https:\/\/corporate.marksandspencer.com\/newsroom\/press-releases\/full-year-results-52-weeks-ended-29-march-2025\" target=\"_blank\" rel=\"noopener\">facturaci\u00f3n de 13.816,8 millones de libras<\/a>. Adem\u00e1s de comprar en tiendas, los clientes hac\u00edan pedidos por webs y aplicaciones, usaban Click &amp; Collect o encargaban productos directamente en el establecimiento. Click &amp; Collect consiste en hacer un pedido online y recogerlo despu\u00e9s en la tienda. Poco despu\u00e9s del cierre del ejercicio, estos canales quedaron&nbsp;paralizados.<\/p>\n<div data-element=\"definition_box\" style=\"background:#23261f;border:1px solid rgba(105,216,237,0.22);border-radius:10px;padding:20px 24px;margin:32px 0;box-shadow:0 2px 10px rgba(0,0,0,0.22);\">\n<p style=\"margin:0;color:#e6e3da;line-height:1.6;\"><strong>\u00bfQu\u00e9 es el ransomware?<\/strong> El ransomware es un software malicioso que cifra datos o bloquea sistemas para exigir un rescate. Las variantes m\u00e1s recientes combinan el cifrado con la extracci\u00f3n de datos y amenazan con publicarlos. En el caso de Marks &amp; Spencer, el ataque buscaba, al menos en parte, un rescate o una extorsi\u00f3n, seg\u00fan el presidente Archie&nbsp;Norman.<\/p>\n<\/div>\n<h2>Cronolog\u00eda del&nbsp;ataque<\/h2>\n<p>Seg\u00fan el presidente Archie Norman, los atacantes obtuvieron el primer acceso a los sistemas el 17 de abril de 2025 mediante una <a href=\"https:\/\/committees.parliament.uk\/oralevidence\/16268\/pdf\/\" target=\"_blank\" rel=\"noopener\">sofisticada suplantaci\u00f3n de identidad<\/a> en la que particip\u00f3 un tercero. En una suplantaci\u00f3n de identidad, los atacantes se hacen pasar por una persona autorizada para obtener accesos o privilegios. El 8 de julio de 2025, Norman compareci\u00f3 ante la subcomisi\u00f3n competente de la C\u00e1mara de los Comunes brit\u00e1nica. Seg\u00fan declar\u00f3, se trat\u00f3 de un ataque de ransomware que buscaba, al menos en parte, un rescate o una&nbsp;extorsi\u00f3n.<\/p>\n<p>Entre ambas fechas transcurrieron las semanas de crisis aguda. El 25 de abril de 2025, <a href=\"https:\/\/corporate.marksandspencer.com\/newsroom\/press-releases\/cyber-incident-further-update-0\" target=\"_blank\" rel=\"noopener\">Marks &amp; Spencer suspendi\u00f3 la aceptaci\u00f3n de pedidos<\/a> a trav\u00e9s de sus webs y aplicaciones. El 13 de mayo de 2025, la empresa hizo p\u00fablico que se hab\u00edan <a href=\"https:\/\/data.fca.org.uk\/artefacts\/NSM\/RNS\/5651766.html\" target=\"_blank\" rel=\"noopener\">robado datos personales de clientes<\/a>.<\/p>\n<h2>La decisi\u00f3n de desconectar la gesti\u00f3n de&nbsp;almacenes<\/h2>\n<p>La suspensi\u00f3n de pedidos form\u00f3 parte de la respuesta al ciberincidente. La intervenci\u00f3n de mayor alcance afect\u00f3 a la log\u00edstica. Tras el ataque, Marks &amp; Spencer desconect\u00f3 sus sistemas de gesti\u00f3n de almacenes, el software que controla las existencias y los movimientos de mercanc\u00edas entre almacenes, tiendas y clientes. La <a href=\"https:\/\/corporate.marksandspencer.com\/sites\/marksandspencer\/files\/2025-11\/marks-and-spencer-hy-2526-rns.pdf\" target=\"_blank\" rel=\"noopener\">desconexi\u00f3n de los sistemas de gesti\u00f3n de almacenes<\/a> oblig\u00f3 a la empresa a suspender los pedidos online, Click &amp; Collect y los pedidos en&nbsp;tienda.<\/p>\n<p>As\u00ed, la respuesta afect\u00f3 directamente a la actividad operativa. La medida alcanz\u00f3 a tres canales de venta a la vez, todos dependientes de la misma gesti\u00f3n de&nbsp;almacenes.<\/p>\n<h2>Recuperaci\u00f3n y&nbsp;costes<\/h2>\n<p>La recuperaci\u00f3n se produjo por etapas. En junio de 2025, Marks &amp; Spencer reanud\u00f3 las entregas a domicilio y, en agosto de 2025, Click &amp; Collect. Las divisiones se recuperaron a distinta velocidad. El negocio de alimentaci\u00f3n se hab\u00eda recuperado en gran medida para la publicaci\u00f3n del informe semestral del 5 de noviembre de 2025. En Fashion, Home &amp; Beauty la recuperaci\u00f3n fue m\u00e1s lenta, porque la complejidad de los sistemas dificult\u00f3 el flujo de&nbsp;mercanc\u00edas.<\/p>\n<p>En las 26 semanas hasta el 27 de septiembre de 2025, el grupo registr\u00f3 costes directos del ciberincidente por 101,6 millones de libras. Correspond\u00edan a la restauraci\u00f3n de sistemas, la gesti\u00f3n de riesgos y el asesoramiento&nbsp;especializado.<\/p>\n<h2>Conclusiones para los CISO de la regi\u00f3n&nbsp;DACH<\/h2>\n<p>Del caso se desprenden cuatro conclusiones para los responsables de&nbsp;seguridad.<\/p>\n<ol>\n<li><strong>Verificaci\u00f3n de identidad en el servicio de asistencia.<\/strong> El Centro Nacional de Ciberseguridad brit\u00e1nico (NCSC) recomend\u00f3 a las empresas el 4 de mayo de 2025, ante los ataques a minoristas, <a href=\"https:\/\/www.ncsc.gov.uk\/blog-post\/incidents-impacting-retailers\" target=\"_blank\" rel=\"noopener\">revisar los procesos de restablecimiento de contrase\u00f1as de los servicios de asistencia<\/a>. Esto se aplica especialmente a las cuentas privilegiadas con permisos ampliados, como las de administradores. La verificaci\u00f3n de identidad antes de restablecer una contrase\u00f1a forma parte de los controles de&nbsp;seguridad.<\/li>\n<li><strong>Autenticaci\u00f3n multifactor.<\/strong> El NCSC tambi\u00e9n recomend\u00f3 implantar la autenticaci\u00f3n multifactor de forma generalizada, de modo que, adem\u00e1s de la contrase\u00f1a, se necesite una segunda prueba, como un c\u00f3digo de un solo&nbsp;uso.<\/li>\n<li><strong>Conocer las dependencias.<\/strong> En Marks &amp; Spencer, la desconexi\u00f3n de la gesti\u00f3n de almacenes paraliz\u00f3 varios canales de venta. Para los ejercicios de recuperaci\u00f3n, esto implica identificar los procesos de negocio que dependen de un sistema desconectado durante una&nbsp;emergencia.<\/li>\n<li><strong>Practicar ambos aspectos conjuntamente.<\/strong> La verificaci\u00f3n de identidades en los puntos de contacto con soporte y las consecuencias operativas de desconectar un sistema deben formar parte del mismo ejercicio de recuperaci\u00f3n. En Marks &amp; Spencer, ambos coincidieron en un solo incidente, desde el acceso por suplantaci\u00f3n de identidad hasta la desconexi\u00f3n de la gesti\u00f3n de&nbsp;almacenes.<\/li>\n<\/ol>\n<h2 style=\"padding-top:64px;margin-bottom:20px;\">Preguntas frecuentes<\/h2>\n<p class=\"st-faq-hint\">Cada pregunta est\u00e1 cerrada. Con un toque se desbloquea la&nbsp;respuesta.<\/p>\n<details>\n<summary><strong>\u00bfQu\u00e9 datos de clientes se vieron afectados en Marks &amp;&nbsp;Spencer?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Seg\u00fan inform\u00f3 la empresa el 13 de mayo de 2025, se robaron datos personales de clientes. No inclu\u00edan datos de pago o de tarjetas utilizables ni contrase\u00f1as de cuentas. En ese momento no hab\u00eda pruebas de que los datos se hubieran&nbsp;compartido.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfTuvieron que hacer algo los clientes tras el&nbsp;ataque?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Seg\u00fan inform\u00f3 la empresa el 13 de mayo de 2025, los clientes no ten\u00edan que hacer nada de inmediato. Sin embargo, se les pedir\u00eda cambiar la contrase\u00f1a en su siguiente visita o inicio de&nbsp;sesi\u00f3n.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfQu\u00e9 vigilancia adicional recomend\u00f3 el&nbsp;NCSC?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Adem\u00e1s de revisar los procesos de los servicios de asistencia e implantar la autenticaci\u00f3n multifactor de forma generalizada, el NCSC recomend\u00f3 reforzar la vigilancia del uso no autorizado de cuentas. Esto inclu\u00eda expresamente los inicios de sesi\u00f3n sospechosos. La recomendaci\u00f3n del 4 de mayo de 2025 se refer\u00eda a los ataques contra&nbsp;minoristas.<\/p>\n<\/details>\n<aside data-element=\"sources\">\n<details class=\"evm-sources\">\n<summary>Fuentes y fechas de los informes <span class=\"evm-sources-count\">(6)<\/span><\/summary>\n<ul>\n<li><a href=\"https:\/\/corporate.marksandspencer.com\/newsroom\/press-releases\/full-year-results-52-weeks-ended-29-march-2025\" rel=\"noopener\" target=\"_blank\">Marks &amp; Spencer: Full Year Results for the 52 Weeks Ended 29 March 2025, mayo de&nbsp;2025<\/a><\/li>\n<li><a href=\"https:\/\/committees.parliament.uk\/oralevidence\/16268\/pdf\/\" rel=\"noopener\" target=\"_blank\">committees.parliament.uk: sofisticada suplantaci\u00f3n de identidad, julio de&nbsp;2025<\/a><\/li>\n<li><a href=\"https:\/\/corporate.marksandspencer.com\/newsroom\/press-releases\/cyber-incident-further-update-0\" rel=\"noopener\" target=\"_blank\">Marks &amp; Spencer: Cyber Incident &#8211; Further Update, abril de&nbsp;2025<\/a><\/li>\n<li><a href=\"https:\/\/data.fca.org.uk\/artefacts\/NSM\/RNS\/5651766.html\" rel=\"noopener\" target=\"_blank\">data.fca.org.uk: National Storage Mechanism | Additional information, mayo de&nbsp;2025<\/a><\/li>\n<li><a href=\"https:\/\/corporate.marksandspencer.com\/sites\/marksandspencer\/files\/2025-11\/marks-and-spencer-hy-2526-rns.pdf\" rel=\"noopener\" target=\"_blank\">corporate.marksandspencer.com: desconexi\u00f3n de los sistemas de gesti\u00f3n de almacenes, noviembre de&nbsp;2025<\/a><\/li>\n<li><a href=\"https:\/\/www.ncsc.gov.uk\/blog-post\/incidents-impacting-retailers\" rel=\"noopener\" target=\"_blank\">National Cyber Security Centre: Incidents impacting retailers &#8211; recommendations from the NCSC, mayo de&nbsp;2025<\/a><\/li>\n<\/ul>\n<\/details>\n<\/aside>\n<p><!--ST-LOWER-CARDS lang=es--><!--\/ST-LOWER-CARDS--><\/p>\n<p style=\"font-style:italic;text-align:right;font-size:0.85em;margin-top:8px;\">Fuente de la imagen: generada por IA (noviembre de 2026)<\/p>\n","protected":false},"excerpt":{"rendered":"Tras una suplantaci\u00f3n de identidad, Marks &#038; Spencer suspendi\u00f3 la venta online. Los costes directos del primer semestre fueron de 101,6 millones de libras.","protected":false},"author":50,"featured_media":25462,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Marks & Spencer","_yoast_wpseo_title":"Marks & Spencer: Ransomware cuesta 101,6 millones de libras","_yoast_wpseo_metadesc":"Tras una suplantaci\u00f3n de identidad, Marks & Spencer suspendi\u00f3 la venta online. Costes directos semestrales: 101,6 millones de libras.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[223],"tags":[],"class_list":["post-25762","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-case-studies"],"evm_reading_time_minutes":7,"wpml_language":"es","wpml_translation_of":25458,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/25762","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=25762"}],"version-history":[{"count":13,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/25762\/revisions"}],"predecessor-version":[{"id":25951,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/25762\/revisions\/25951"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/25462"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=25762"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=25762"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=25762"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}