Marks & Spencer : 300 millions d'impact, 100 millions de couverture

Archives : reconstitution rédigée en novembre 2026

Thème du mois d'avril 2025 · par cybercoverinsurance

En avril 2025, Marks & Spencer, l'une des plus grandes chaînes de distribution britanniques, a subi une attaque qui a arrêté les commandes en ligne pendant 46 jours, vidé une partie des rayons et entraîné le vol de données clients. En mai, l'entreprise a estimé l'impact à environ 300 millions de livres sur le résultat opérationnel de l'année. Selon le Financial Times, la réclamation à la police cyber plafonnait à 100 millions.

Le cas est utile pour qui porte le risque cyber parce que les chiffres sont publics : l'impact estimé, les coûts directs et le montant maximal assuré. Il montre l'écart entre le dommage économique d'un grand distributeur et la couverture offerte par le marché, ainsi que le poids d'un service d'assistance externalisé comme porte d'entrée.

Ce que l'on sait

L'entrée. Le président Archie Norman a déclaré au Parlement britannique que l'entrée avait eu lieu le 17 avril par une « usurpation d'identité sophistiquée » : les attaquants, avec les données d'un salarié, ont convaincu un prestataire tiers de réinitialiser son mot de passe. Selon des sources de BleepingComputer, des acteurs liés à Scattered Spider ont ensuite chiffré de nombreux serveurs VMware ESXi avec le ransomware DragonForce et dérobé environ 150 Go de données. Archie Norman n'a pas voulu dire si une rançon avait été payée (BleepingComputer).

L'arrêt. L'attaque est survenue autour du week-end de Pâques. M&S a déconnecté ses systèmes d'entrepôt et de commande en ligne. Le 13 mai, elle a confirmé le vol de données personnelles de clients. Le 10 juin, après 46 jours, elle a repris les commandes en ligne pour certaines gammes de vêtements, avec livraison standard uniquement. Au plus bas, l'action avait perdu environ 16 %, soit plus d'un milliard de livres de capitalisation (The Register). Le retrait en magasin est revenu en août (The Record).

L'estimation de mai. Le 21 mai, M&S a annoncé une baisse du résultat opérationnel d'environ 300 millions de livres pour l'année, à réduire par la maîtrise des coûts, l'assurance et d'autres mesures. Parmi les données dérobées : noms, adresses électroniques, adresses postales et dates de naissance. Les pertes de marchandises et les coûts logistiques ont augmenté avec le passage à des processus manuels (PA via Hargreaves Lansdown).

La couverture. Selon le Financial Times, cité par IADS, l'indemnisation pouvait atteindre 100 millions de livres. Allianz était l'assureur de première ligne pour les 10 premiers millions, Beazley figurant parmi les assureurs exposés (IADS).

L'addition en novembre. Dans ses résultats semestriels du 5 novembre 2025, M&S a comptabilisé 101,6 millions de livres de charges liées à l'incident, dont 83 millions pour la réponse et la restauration des systèmes, et en a prévu 34 de plus au second semestre, soit environ 136 millions au total. Le résultat ajusté du semestre a baissé de 55,4 %, à 184,1 millions (The Register). Le résultat comptable avant impôt est passé de 391,1 à 3,4 millions, l'indemnité d'assurance de 100 millions amortissant le choc (The Record).

Les suites. En juillet 2025, quatre personnes ont été arrêtées pour les attaques contre M&S, Co-op et Harrods (The Record). En octobre 2025, M&S a mis fin au contrat de service d'assistance informatique avec Tata Consultancy Services. TCS a déclaré n'avoir trouvé aucun indice de compromission dans son propre réseau, et les deux entreprises ont indiqué que la décision était antérieure à l'attaque (Retail Systems).

Ce que l'on ne sait pas. Le prestataire trompé, le paiement éventuel d'une rançon et le détail de la police (plafonds, franchises, période d'indemnisation) n'ont pas été rendus publics.

Le dommage et la couverture

Un tiers de l'impact, au mieux. Face à une estimation de 300 millions de livres de résultat opérationnel perdu, la réclamation maximale à la police était de 100 millions. Même dans le meilleur des cas, les deux tiers de l'impact estimé restaient à la charge de l'entreprise. C'est l'un des cas les mieux documentés de sous-assurance d'un grand groupe face à son propre pire scénario cyber.

Les coûts directs sont proches du plafond. Les coûts directs déclarés, environ 136 millions, dépassent déjà à eux seuls le maximum assuré. La part de perte d'exploitation, c'est-à-dire les ventes en ligne perdues et les marges réduites, reste presque entièrement non couverte. Pour qui porte le risque, la question n'est pas seulement le montant du plafond, mais quelle part du dommage l'épuise en premier.

Le plafond reflète le marché, pas le scénario. Une chaîne réalisant 13,8 milliards de livres de chiffre d'affaires annuel trouve difficilement une capacité cyber à la hauteur de son pire scénario. Le cas M&S montre que les grands groupes doivent décider explicitement quelle part du risque cyber conserver, plutôt que de la découvrir après le sinistre.

Le service d'assistance est le périmètre

Le mot de passe réinitialisé est la porte. L'attaque n'a pas exploité une vulnérabilité technique, mais la procédure de réinitialisation des identifiants. Celui qui gère le service d'assistance, interne ou externe, décide qui peut obtenir un nouvel accès. C'est le même schéma que Transport for London en 2024, également attribué à des membres de Scattered Spider.

Le prestataire externe fait entrer le risque. Le service d'assistance était confié à un tiers, habilité à réinitialiser les mots de passe. Les questions du questionnaire sur l'authentification multifacteur et la formation ne suffisent pas si la vérification d'identité par téléphone est faible. Il faut savoir comment le prestataire vérifie les appelants, surtout pour les comptes privilégiés.

Le recours contre le prestataire est incertain. TCS a nié que la compromission soit partie de son réseau. Pour l'assureur de M&S, le recours subrogatoire contre le prestataire du service d'assistance dépend de preuves et de contrats non publics, et reste de toute façon limité par les plafonds de responsabilité contractuels.

Cumul par acteur et par secteur

Trois distributeurs en quelques semaines. Les arrestations de juillet concernent les attaques contre M&S, Co-op et Harrods (The Record). Des attaques liées, avec la même technique, ont frappé un secteur l'une après l'autre. Pour un portefeuille, le cumul ne passe pas seulement par un prestataire commun, mais aussi par un acteur qui choisit un secteur.

Le concurrent gagne, l'assureur non. Next a annoncé des ventes en hausse de 7,6 %, en partie grâce aux difficultés de ses concurrents (The Record). Le dommage d'un distributeur ne disparaît pas du marché, mais pour qui assure de nombreux distributeurs d'une même zone, la série d'attaques compte plus que l'événement isolé.

Ce qu'il faut apporter aux renouvellements

Impact pour les assureursÉlevé

Une attaque partie de la réinitialisation d'un mot de passe auprès d'un service d'assistance externalisé a arrêté pendant 46 jours les ventes en ligne d'un grand distributeur, avec un impact estimé à trois fois le maximum assuré.

Côté portefeuille, le cas invite à traiter les distributeurs d'une même zone comme un groupe exposé au même acteur, et à demander qui fournit le service d'assistance : un même prestataire au service de plusieurs assurés est un point de cumul à connaître.

Sources

• BleepingComputer – entrée, ransomware et audition du président
• The Register – reprise des commandes en ligne après 46 jours
• PA via Hargreaves Lansdown – estimation de 300 millions et données dérobées
• IADS – indemnisation jusqu'à 100 millions et assureurs
• The Register – charges semestrielles et coût total
• The Record – résultat semestriel, assurance et arrestations
• Retail Systems – fin du contrat d'assistance avec TCS