Marks & Spencer suspende encomendas online após um ciberataque

O que aconteceu

O ciberincidente da Marks & Spencer começou por volta da Páscoa de 2025. A empresa suspendeu as encomendas online no Reino Unido e na Irlanda e só as reativou de forma progressiva em junho. As lojas físicas permaneceram abertas, embora com problemas de stock em alguns produtos.

A própria empresa explicou que o acesso inicial ocorreu através de engenharia social dirigida a um terceiro, e estimou um impacto de cerca de 300 milhões de libras no seu lucro operacional do exercício.

O que ensina a um negócio com vendas online

O ataque não exigiu uma vulnerabilidade técnica sofisticada: bastou convencer alguém com capacidade para restabelecer acessos. Isto coloca o foco nos serviços de suporte, internos ou externos, e na forma como verificam a identidade de quem liga.

A segunda lição é de negócio: semanas sem canal online têm um custo muito superior ao da recuperação técnica.

O que convém rever

Controlos com impacto direto neste tipo de ataque:

• Procedimento de verificação de identidade antes de repor palavras-passe ou a autenticação de dois fatores.
• Acessos de fornecedores e de serviços de suporte, com permissões mínimas e registo.
• Plano de continuidade do canal de vendas: o que se pode continuar a vender e como.
• Cópias recuperáveis da loja online, do ERP e do catálogo.

Perguntas frequentes

¿Como entraram os atacantes?

Segundo a empresa, através de engenharia social dirigida a um terceiro com acesso aos seus sistemas.

¿Uma loja online pequena é um alvo?

Sim. A técnica de enganar o suporte para obter acesso funciona da mesma forma em organizações pequenas.

¿Que medida tem maior impacto?

Reforçar a verificação de identidade no suporte e exigir autenticação de dois fatores resistente ao phishing nos acessos administrativos.