Pierwsze działania napastników rozpoczęły się w lutym. Firma wykryła włamanie dopiero w kwietniu. W tym czasie sprawcy uzyskali dostęp do istotnych elementów infrastruktury IT, a następnie uruchomili ransomware DragonForce na hostach VMware ESXi.
Sprzedaż internetowa została wstrzymana. Firma oszacowała wpływ incydentu na około 300 milionów funtów.
Scattered Spider i wejście do sieci M&S
Za atakiem stała grupa Scattered Spider, znana również jako UNC3944, Octo Tempest i Muddled Libra.
Jednym z przejętych zasobów był plik NTDS.dit. Zawiera dane związane z uwierzytelnianiem użytkowników w środowisku Active Directory i może dać napastnikom materiał potrzebny do dalszego poruszania się po sieci. Scattered Spider wykorzystuje inżynierię społeczną. W przypadku M&S pojawiły się informacje o phishingu oraz metodzie MFA fatigue. Polega ona na wysyłaniu użytkownikowi kolejnych próśb o zatwierdzenie logowania. Napastnik liczy, że któraś z nich zostanie zaakceptowana. 24 kwietnia 2025 roku na hostach VMware ESXi uruchomiono DragonForce. Zaszyfrowanie maszyn wirtualnych odcięło firmę od części systemów potrzebnych do codziennej pracy.
Scattered Spider działa od 2022 roku. Grupę wiązano z ponad setką ataków na firmy z sektora telekomunikacyjnego, finansowego, detalicznego i gamingowego. Część jej członków jest bardzo młoda. Wśród osób identyfikowanych ze środowiskiem grupy byli również nastolatkowie. Członkowie Scattered Spider są kojarzeni także z „Com” – luźną społecznością skupiającą osoby zaangażowane w cyberprzestępczość oraz inne przestępstwa.
Sprzedaż internetowa stanęła, sklepy działały dalej
Po wykryciu ataku Marks & Spencer wstrzymał zamówienia online w Wielkiej Brytanii i na Irlandii. Sklepy stacjonarne pozostawały otwarte, ale zakłócenia w systemach zaczęły wpływać na ich funkcjonowanie. W części placówek ograniczono dostępność produktów. W Liverpoolu zmniejszono asortyment żywnościowy. Spadek liczby obsługiwanych zamówień wpłynął także na zatrudnienie. Około 200 pracowników tymczasowych straciło pracę w głównym centrum dystrybucyjnym. Niektóre procesy wykonywano ręcznie. Zwiększyło to koszty operacyjne i utrudniło logistykę. Najmocniej ucierpiał segment Fashion, Home & Beauty, dla którego sprzedaż internetowa ma duże znaczenie. Żywność nadal była sprzedawana w sklepach, choć problemy z dostępnością produktów również odbiły się na wynikach.
300 milionów funtów kosztów
M&S oszacował finansowe skutki ataku na około 300 milionów funtów. W tej kwocie uwzględniono utracone przychody ze sprzedaży internetowej, dodatkowe koszty operacyjne, pracę ręczną, straty związane z produktami oraz wydatki na obsługę incydentu.
Firma korzystała przy tym ze wsparcia zewnętrznych specjalistów. CrowdStrike prowadziło analizę forensyczną oraz prace związane z opanowaniem incydentu. Microsoft wspierał M&S w zakresie infrastruktury chmurowej. Zaangażowano także Fenix24.
Atak odbił się również na notowaniach spółki. Pod koniec kwietnia kurs akcji spadł o 2,2 proc., do 377,3 pensa. Od ujawnienia incydentu wartość rynkowa firmy zmniejszyła się o ponad 700 milionów funtów.
Dane klientów
Marks & Spencer potwierdził dostęp sprawców do danych osobowych klientów.
Według informacji przekazanych przez firmę incydent nie objął danych kart płatniczych ani haseł. Mimo to przy kolejnym logowaniu klienci mieli zostać poproszeni o zmianę hasła.
Firma zdecydowała się więc na dodatkowe zabezpieczenie kont po incydencie, choć deklarowała, że hasła same nie zostały przejęte.
Odbudowa systemów zajęła miesiące
Po ataku nie było mowy o szybkim powrocie do zwykłego trybu działania.
M&S zapowiadał, że problemy ze sprzedażą internetową będą trwały przez czerwiec i lipiec 2025 roku. Usługi miały wracać etapami. Przy takim incydencie odbudowa środowiska nie sprowadza się do ponownego uruchomienia serwerów. Trzeba ustalić zakres dostępu napastników, usunąć pozostawione przez nich mechanizmy dostępu i sprawdzić odtwarzane systemy. Dopiero później można je ponownie włączyć do pracy.
Były szef brytyjskiego National Cyber Security Centre, Ciaran Martin, określił zdarzenie jako poważny incydent ransomware. Dan Card z BCS porównał jego skutki do „cyfrowej bomby”. CEO Marks & Spencer, Stuart Machin, skierował do klientów oficjalny komunikat i przeprosił za niedogodności. BBC informowało jednak o niezadowoleniu części klientów ze sposobu, w jaki firma przekazywała informacje podczas kryzysu.
M&S nie był jedynym celem
W podobnym czasie problemy z cyberbezpieczeństwem dotknęły także innych brytyjskich sieci handlowych, między innymi Co‐op.
Duży detalista ma rozbudowaną infrastrukturę, tysiące użytkowników, systemy magazynowe i logistyczne, e‑commerce oraz wiele procesów zależnych od wymiany danych. Awaria w jednym obszarze może szybko przejść na kolejny.
W przypadku M&S było to dobrze widoczne. Atak zaczął się w systemach IT, ale jego skutki pojawiły się w sprzedaży, magazynach, logistyce, zatrudnieniu i na giełdzie.
Susannah Streeter z Hargreaves Lansdown zwracała uwagę, że brak możliwości składania zamówień online szczególnie mocno uderza w sprzedaż mody w okresie letnim. Dłuższa przerwa oznacza też ryzyko, że część klientów przeniesie zakupy do konkurencji.
Problem zaczyna się przed uruchomieniem ransomware
W przypadku M&S szczególnie istotna jest przerwa między wejściem napastników do środowiska a wykryciem ich obecności.
Sprawcy mieli działać w sieci od lutego. Firma wykryła incydent w kwietniu. W tym czasie mogli zbierać informacje, przejmować kolejne zasoby i przygotowywać odpowiedni atak. Dlatego podczas oceny odporności organizacji warto patrzeć szerzej niż tylko na ransomware. Liczy się czas wykrycia włamania, zakres dostępu do systemów, możliwość pracy po ich wyłączeniu oraz sposób odtworzenia środowiska.
Marks & Spencer miał środki, aby zatrudnić duże firmy cyberbezpieczeństwa i prowadzić odbudowę przez wiele tygodni. Mimo to cyberatak zatrzymał sprzedaż internetową i kosztował firmę setki milionów funtów.
Dla innych organizacji najważniejsza pozostaje więc bardzo konkretna kwestia: które procesy przestaną działać, jeśli systemy IT będą niedostępne przez kilka dni lub kilka tygodni – i czy istnieje realny sposób prowadzenia działalności w tym czasie.
Aktualizacja, sierpień 2026: napastnicy prawdopodobnie uzyskali dostęp do systemów Marks & Spencer już w lutym 2025 roku, a ransomware uruchomili 24 kwietnia. Sprzedaż internetowa pozostawała wstrzymana przez 46 dni i zaczęła wracać 10 czerwca. Pełne usługi Click & Collect przywrócono 11 sierpnia 2025 roku. M&S zakończył zasadniczą odbudowę systemów w kolejnych miesiącach; obecnie incydent nie powoduje już zakłóceń operacyjnych. Nadal prowadzone były natomiast postępowania regulacyjne dotyczące naruszenia.
