Google alerta que els atacants de retailers britànics estan mirant cap als Estats Units

Què va passar

Al maig de 2025 Google va assenyalar que actors vinculats als atacs contra grans cadenes de retail britàniques, com Marks & Spencer i Co-op, estaven dirigint la seva atenció cap a empreses dels Estats Units, i va destacar l'ús de tècniques d'enginyeria social com a mètode principal d'entrada.

Segons Google, el patró habitual consistia a suplantar empleats legítims davant el help desk o els serveis de suport per aconseguir restabliments de contrasenya o registre de nous factors d'autenticació.

Què significa per a una empresa mitjana

L'avís confirma que aquests grups no es limiten a un sector ni a un país: canvien d'objectiu quan troben resistència. La tècnica que usen no requereix una vulnerabilitat tècnica, sinó convèncer una persona amb capacitat per restablir accessos.

Això trasllada bona part de la responsabilitat de la seguretat als processos de suport, interns o externs, que han de verificar la identitat de qui truca amb el mateix rigor que exigirien per concedir accés des de zero.

Què convé revisar

Mesures que redueixen l'eficàcia de l'enginyeria social contra el suport:

• Procediment de verificació d'identitat reforçat abans de restablir contrasenyes o factors d'autenticació.
• Formació específica del personal de suport sobre tècniques de suplantació conegudes.
• Doble factor resistent al phishing en els accessos administratius i de suport.
• Registre i revisió periòdica de sol·licituds de restabliment d'accés.

Preguntes freqüents

Quins grups hi ha darrere d'aquests atacs?

Google no va atribuir públicament els atacs a un únic grup amb prou detall per anomenar-lo aquí; l'avís es va centrar en el trasllat de l'activitat cap a empreses estatunidenques i en el patró d'enginyeria social.

Per què es parla d'enginyeria social i no d'una fallada tècnica?

Perquè l'accés es va aconseguir convencent personal de suport per restablir credencials, no explotant una vulnerabilitat de programari.

Què pot fer una empresa que no és un gran retailer?

Aplicar el mateix rigor de verificació d'identitat al seu propi suport, sigui intern o subcontractat, i imposar doble factor resistent al phishing.