Publicado el · Reino Unido
Marks & Spencer: una contraseña restablecida con engaño y 46 días sin pedidos online
El 17 de abril de 2025 alguien se presentó como una de las 50.000 personas que trabajan con Marks & Spencer y convenció a un proveedor externo para restablecer la contraseña de un empleado. De ahí salió un ataque de ransomware: pedidos online parados 46 días y un daño que la propia empresa estima en unos 300 millones de libras.
En 30 segundos
- Un delincuente se hizo pasar por un empleado y consiguió que un proveedor externo restableciera su contraseña.
- Con esa contraseña entró en la red: ransomware y pedidos online parados durante 46 días.
- La regla: ninguna contraseña se cambia a petición sin una verificación decidida de antemano.
- Cuándo
- Entrada el 17 de abril de 2025
- Quién
- Marks & Spencer, Reino Unido
- Por dónde entraron
- Contraseña restablecida con engaño por un proveedor
- Cuánto
- Unos 300 millones de libras según M&S
Qué pasó
Marks & Spencer, una de las mayores cadenas de tiendas del Reino Unido, sufrió en abril de 2025 un ataque de ransomware atribuido al grupo DragonForce. Se pararon los pedidos online y en algunas tiendas las estanterías se quedaron vacías.
La empresa estimó el coste del ataque en unos 300 millones de libras. Los pedidos online de ropa volvieron después de 46 días.
Por dónde entraron
Lo contó el presidente Archie Norman ante una comisión del Parlamento británico: la entrada fue el 17 de abril, con lo que hoy se llama ingeniería social, es decir, un engaño.
Los delincuentes se hicieron pasar por una de las 50.000 personas que trabajan con la empresa y convencieron a un proveedor externo para restablecer la contraseña de un empleado. El nombre del proveedor circula en la prensa, pero no está confirmado.
Por qué afecta también a una pequeña empresa
Quien gestiona la informática de una pequeña empresa casi siempre es externo: un técnico, una agencia, el proveedor del programa de gestión. Si a ellos les basta una llamada o un correo convincente para cambiar una contraseña, cualquiera puede convertirse en ti.
No hace falta un ataque sofisticado: basta saber el nombre correcto y el tono correcto.
Qué revisar hoy en tu empresa
- Acuerda con quien te lleva la informática cómo se verifica a quien pide un cambio de contraseña: una llamada de vuelta al número guardado o un código pactado.
- Escribe en el contrato con el proveedor qué puede hacer solo y qué solo después de tu confirmación.
- Guarda copias de seguridad desconectadas de la red, donde un ransomware no pueda llegar.
- Prepara un plan para trabajar unos días sin sistemas: a quién llamar, cómo tomar pedidos, cómo avisar a los clientes.