Marks & Spencer suspend les commandes en ligne après une cyberattaque

Ce qui s’est passé

Le cyberincident de Marks & Spencer a commencé autour de Pâques 2025. L’entreprise a suspendu les commandes en ligne au Reino Unido et en Irlanda et ne les a rétablies que progressivement à partir de juin. Les magasins physiques sont restés ouverts, malgré des problèmes de stock sur certains produits.

L’entreprise elle-même a expliqué que l’accès initial avait été obtenu par ingénierie sociale ciblant un tiers, et a estimé l’impact sur son résultat opérationnel de l’exercice à environ 300 millions de livres.

Les enseignements pour une entreprise qui vend en ligne

L’attaque n’a pas nécessité de faille technique sophistiquée: il a suffi de convaincre une personne habilitée à rétablir des accès. Cela met en lumière le rôle des services d’assistance, internes ou externes, et la manière dont ils vérifient l’identité de leur interlocuteur.

Le deuxième enseignement concerne l’activité: plusieurs semaines sans canal de vente en ligne coûtent bien plus cher que le rétablissement technique.

Les points à vérifier

Mesures de contrôle ayant un impact direct sur ce type d’attaque:

• Procédure de vérification d’identité avant toute réinitialisation de mot de passe ou du second facteur d’authentification.
• Accès des fournisseurs et des services d’assistance, avec des droits minimaux et une journalisation.
• Plan de continuité du canal de vente: quels produits peuvent encore être vendus et comment.
• Sauvegardes restaurables de la boutique en ligne, de l’ERP et du catalogue.

Questions fréquentes

¿Comment les attaquants se sont-ils introduits dans les systèmes?

Selon l’entreprise, par ingénierie sociale ciblant un tiers ayant accès à ses systèmes.

¿Une petite boutique en ligne peut-elle être une cible?

Oui. Tromper le service d’assistance pour obtenir un accès fonctionne tout aussi bien dans les petites structures.

¿Quelle mesure a le plus d’effet?

Renforcer la vérification d’identité par le support et exiger une authentification à deux facteurs résistante au phishing pour les accès administrateur.