ANÁLISIS
Marks & Spencer: 300 millones de impacto, 100 de póliza
En abril de 2025 un ataque iniciado con una contraseña restablecida en un servicio de asistencia externo paró durante 46 días los pedidos online de Marks & Spencer, con un impacto estimado de 300 millones de libras y una póliza cyber de hasta 100 millones. El análisis: límite y daño, el servicio de asistencia, cúmulo por actor y preguntas para las renovaciones.
Archivo: reconstrucción escrita en noviembre de 2026
Tema del mes de abril de 2025 · por cybercoverinsurance
En abril de 2025 Marks & Spencer, una de las mayores cadenas de distribución británicas, sufrió un ataque que paró los pedidos online durante 46 días, vació parte de los estantes y llevó al robo de datos de clientes. En mayo la empresa estimó un impacto de unos 300 millones de libras en el beneficio operativo del año. Según el Financial Times, la reclamación a la póliza cyber llegaba como máximo a 100 millones.
El caso es útil para quien asume el riesgo cyber porque las cifras son públicas: el impacto estimado, los costes directos y el importe máximo asegurado. Muestra la distancia entre el daño económico de un gran minorista y la cobertura que ofrece el mercado, y el peso de un servicio de asistencia externo como puerta de entrada.
Lo que se sabe
La entrada. El presidente Archie Norman dijo al Parlamento británico que la entrada se produjo el 17 de abril mediante una «sofisticada suplantación»: los atacantes, con los datos de un empleado, convencieron a un proveedor externo para que restableciera su contraseña. Según fuentes de BleepingComputer, actores vinculados a Scattered Spider cifraron después numerosos servidores VMware ESXi con el ransomware DragonForce y sustrajeron unos 150 GB de datos. Norman no quiso decir si se pagó un rescate (BleepingComputer).
La parada. El ataque llegó en torno al fin de semana de Pascua. M&S desconectó los sistemas de almacén y de pedidos online. El 13 de mayo confirmó el robo de datos personales de clientes. El 10 de junio, tras 46 días, reanudó los pedidos online de algunas líneas de ropa, solo con envío estándar. En su punto más bajo la acción había perdido cerca del 16%, más de 1.000 millones de libras de capitalización (The Register). La recogida en tienda volvió en agosto (The Record).
La estimación de mayo. El 21 de mayo M&S indicó una caída del beneficio operativo de unos 300 millones de libras para el año, a reducir con gestión de costes, seguro y otras medidas. Entre los datos sustraídos: nombres, correos electrónicos, direcciones postales y fechas de nacimiento. Las mermas y los costes logísticos aumentaron por el paso a procesos manuales (PA vía Hargreaves Lansdown).
La cobertura. Según el Financial Times, citado por IADS, el pago del seguro podía llegar a 100 millones de libras. Allianz era el asegurador primario por los primeros 10 millones, con Beazley entre los expuestos (IADS).
La cuenta en noviembre. En los resultados semestrales del 5 de noviembre de 2025 M&S registró 101,6 millones de libras de cargos por el incidente, 83 millones de ellos por respuesta y recuperación de sistemas, y previó otros 34 en el segundo semestre, unos 136 millones en total. El beneficio ajustado del semestre cayó un 55,4%, hasta 184,1 millones (The Register). El beneficio contable antes de impuestos pasó de 391,1 a 3,4 millones, con el pago del seguro de 100 millones como amortiguador (The Record).
La evolución. En julio de 2025 cuatro personas fueron detenidas por los ataques a M&S, Co-op y Harrods (The Record). En octubre de 2025 M&S cerró el contrato de asistencia informática con Tata Consultancy Services. TCS declaró no haber encontrado indicios de compromiso en su propia red, y ambas empresas dijeron que la decisión es anterior al ataque (Retail Systems).
Lo que no se sabe. No se ha hecho público qué proveedor fue engañado, si se pagó un rescate ni el detalle de la póliza (límites, franquicias, periodo de indemnización).
El daño y la cobertura
Un tercio del impacto, como mucho. Frente a una estimación de 300 millones de libras de beneficio operativo perdido, la reclamación máxima a la póliza era de 100 millones. Incluso en el mejor caso, dos tercios del impacto estimado quedaban a cargo de la empresa. Es uno de los casos mejor documentados de infraseguro de un gran grupo frente a su propio peor escenario cyber.
Los costes directos están cerca del límite. Los costes directos declarados, unos 136 millones, superan ya por sí solos el máximo asegurado. La parte de interrupción de la actividad, es decir ventas online perdidas y márgenes reducidos, queda casi toda sin cubrir. Para quien asume el riesgo, la pregunta no es solo cuánto vale el límite, sino qué parte del daño lo consume primero.
El límite refleja el mercado, no el escenario. Una cadena con 13.800 millones de libras de ingresos anuales difícilmente encuentra capacidad cyber igual a su peor escenario. El caso M&S muestra que los grandes grupos deben decidir de forma explícita cuánto riesgo cyber retener, en vez de descubrirlo tras el siniestro.
El servicio de asistencia es el perímetro
La contraseña restablecida es la puerta. El ataque no explotó una vulnerabilidad técnica, sino el procedimiento de restablecimiento de credenciales. Quien gestiona el servicio de asistencia, interno o externo, decide quién puede obtener un nuevo acceso. Es el mismo esquema de Transport for London en 2024, atribuido también a miembros de Scattered Spider.
El proveedor externo mete el riesgo dentro. El servicio de asistencia estaba en manos de un tercero, con poder para restablecer contraseñas. Las preguntas del cuestionario sobre autenticación multifactor y formación no bastan si la verificación de identidad por teléfono es débil. Hay que saber cómo verifica el proveedor a quien llama, sobre todo para las cuentas privilegiadas.
El recobro frente al proveedor es incierto. TCS negó que el compromiso partiera de su red. Para el asegurador de M&S, la subrogación frente al proveedor del servicio de asistencia depende de pruebas y contratos que no son públicos, y en todo caso está limitada por los topes de responsabilidad contractuales.
Cúmulo por actor y por sector
Tres minoristas en pocas semanas. Las detenciones de julio se refieren a los ataques a M&S, Co-op y Harrods (The Record). Ataques vinculados, con la misma técnica, golpearon un sector en secuencia. Para una cartera, el cúmulo no pasa solo por un proveedor común, sino también por un actor que elige un sector.
El competidor gana, el asegurador no. Next registró ventas un 7,6% superiores, en parte por las dificultades de los competidores (The Record). El daño de un minorista no desaparece del mercado, pero para quien asegura muchos minoristas de la misma zona la secuencia de ataques cuenta más que el evento aislado.
Qué llevar a las renovaciones
Impacto para las aseguradorasAlto
Un ataque iniciado con el restablecimiento de una contraseña en un servicio de asistencia externo paró durante 46 días las ventas online de un gran minorista, con un impacto estimado tres veces superior al máximo asegurado.
En el lado de la cartera, el caso sugiere tratar a los minoristas de la misma zona como un grupo expuesto al mismo actor, y preguntar quién presta el servicio de asistencia: el mismo proveedor al servicio de varios asegurados es un punto de cúmulo que conviene conocer.
Fuentes
- BleepingComputer – entrada, ransomware y comparecencia del presidente
- The Register – reanudación de los pedidos online tras 46 días
- PA vía Hargreaves Lansdown – estimación de 300 millones y datos sustraídos
- IADS – pago del seguro de hasta 100 millones y aseguradores
- The Register – cargos semestrales y coste total
- The Record – beneficio del semestre, seguro y detenciones
- Retail Systems – fin del contrato de asistencia con TCS