La ciberseguridad se ha convertido en una preocupación crítica para las grandes empresas, y el reciente ataque a Marks & Spencer (M&S) subraya esta realidad. El incidente, de notable sofisticación, ha paralizado parte de sus operaciones y generará pérdidas millonarias, poniendo de manifiesto la vulnerabilidad incluso de las compañías más consolidadas. Este revés llega en un momento crucial para M&S, que se encuentra inmersa en una transformación estratégica para impulsar su crecimiento y adaptarse al panorama comercial actual.
Según la investigación publicada por The New York Times, Marks & Spencer, una de las principales cadenas minoristas del Reino Unido, ha estimado que la interrupción causada por un ciberataque «altamente sofisticado» que ha afectado a sus operaciones durante el último mes, podría extenderse hasta julio y ocasionar pérdidas de beneficios de alrededor de 300 millones de libras esterlinas (400 millones de dólares) este año.
El ataque, que se hizo evidente durante el fin de semana de Pascua, ha tenido un coste diario de millones de libras para la empresa. M&S se vio forzada a suspender los pedidos en línea, recurrir a procesos manuales y enfrentar un aumento en el desperdicio de alimentos. Aunque la entrega de alimentos a las tiendas se ha restablecido, la empresa aún no ha reactivado los pedidos en línea de ropa y artículos para el hogar, y los clientes no pueden acceder a su programa de fidelización. La compañía anticipa que la plena restauración de los pedidos online y las operaciones relacionadas no se producirá hasta julio.
Stuart Machin, el consejero delegado de la cadena, reconoció durante una conferencia con analistas la difícil situación que atraviesa la empresa. Machin enfatizó que el enfoque actual está en la recuperación y aseguró que los clientes pueden comprar con normalidad en las tiendas físicas. No obstante, advirtió que la reactivación de los pedidos en línea requerirá varias semanas más. La empresa, con 140 años de historia, se encontraba en pleno proceso de modernización para acelerar las ventas y mantener su relevancia en el mercado británico cuando fue atacada por los ciberdelincuentes.
La menor disponibilidad de alimentos ha afectado negativamente a las ventas, y los costes adicionales de logística y el aumento del desperdicio reducirán las ganancias de este trimestre. Las ventas y los beneficios de ropa, hogar y belleza también han sufrido un «grave impacto». Sin embargo, la empresa confía en que el coste final del ataque se reduzca a la mitad gracias a las pólizas de seguro y otras medidas de ahorro. Adicionalmente, M&S ha decidido aprovechar este incidente para acelerar la actualización de su tecnología, reduciendo el plazo de dos años previsto inicialmente a seis meses.
La semana pasada, M&S confirmó que algunos datos de clientes fueron sustraídos durante el ataque. Los hackers podrían haber accedido a información personal como datos de contacto y fechas de nacimiento, pero no hay evidencia de que esta información haya sido difundida. Los datos de tarjetas de crédito u otros detalles de pago, así como las contraseñas de las cuentas, no se vieron comprometidos.
Se ha identificado a un grupo de hackers conocido como Scattered Spider como uno de los principales sospechosos del ataque a M&S. Este grupo, activo desde al menos 2022, se caracteriza por emplear técnicas de ingeniería social para engañar a las personas y obtener contraseñas u otras credenciales que les permitan acceder a las redes informáticas de las empresas. Una vez dentro, instalan malware que puede ser removido a cambio de un rescate. M&S ha confirmado que el origen del ataque fue un error humano y que los hackers accedieron al sistema de la compañía a través de una empresa proveedora externa.
