ATTACCHI · RANSOMWARE CON FERMO OPERATIVO
Marks & Spencer, aprile 2025: la password reimpostata dall'help desk
Il 17 aprile 2025 gli attaccanti hanno convinto un help desk esterno a reimpostare la password di un dipendente di Marks & Spencer; poi sono arrivati cifratura e furto di dati. Ordini online fermi per 46 giorni, impatto stimato di 300 milioni di sterline, polizza cyber fino a 100 milioni.
- Vittima
- Marks & Spencer
- Settore
- Distribuzione al dettaglio
- Paese
- Regno Unito
- Data
- 17 aprile 2025
- Categoria
- Ransomware con fermo operativo
- Causa
- Social engineering su help desk o dipendenti · Accesso tramite fornitore o terza parte
- Attore
- Criminale (sospettato). Attori legati a Scattered Spider, ransomware DragonForce, secondo fonti di BleepingComputer
- Scenari di danno
- Business interruption propria · Ripristino di dati e sistemi · Notifica e responsabilità privacy
Le cause in breve
- Accesso iniziale. Con i dati di un dipendente, gli attaccanti si sono finti lui e hanno ottenuto da un fornitore terzo la reimpostazione della password (BleepingComputer).
- Estensione. Secondo le stesse fonti, sono stati cifrati numerosi server VMware ESXi e sottratti circa 150 GB di dati.
- Controllo mancato. La verifica dell'identità di chi chiede una nuova password all'help desk esterno.
L'impatto
- Ordini online fermi per 46 giorni, ripresi il 10 giugno 2025 (The Register).
- Dati dei clienti sottratti: nomi, email, indirizzi postali, date di nascita.
- Impatto stimato di circa 300 milioni di sterline sull'utile operativo dell'anno (PA via Hargreaves Lansdown).
- Costi diretti per l'incidente di circa 136 milioni di sterline (The Register).
- Riscatto: non è noto se sia stato pagato.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, assistenza legale e comunicazione sono il primo costo di un attacco come questo.
- Ripristino di dati e sistemiRispondeLa ricostruzione dei server cifrati rientra nel ripristino; è la voce più alta dei costi diretti dichiarati.
- Business interruption propriaRisponde con limitiIl fermo di 46 giorni supera ogni periodo di attesa, ma il danno stimato è tre volte il limite: la garanzia si esaurisce prima del danno.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è dell'assicurato stesso, non di un suo fornitore fermo.
- EstorsioneDipende dal wordingRisponde solo per un riscatto pagato con il consenso dell'assicuratore; non è noto se sia stato pagato.
- Notifica e responsabilità privacyRispondeIl furto di dati dei clienti attiva i costi di notifica e assistenza.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRispondeRisponde a eventuali richieste dei clienti per i dati sottratti.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Nessuna esclusione tipica sembra applicabile: attore criminale, nessuna attribuzione statale.
- Il punto è il limite: i costi diretti da soli superano il massimo assicurato, e la business interruption resta quasi tutta scoperta.
La copertura reale
Secondo il Financial Times, ripreso da IADS, il pagamento assicurativo poteva arrivare a 100 milioni di sterline; Allianz era l'assicuratore primario per i primi 10 milioni (IADS).
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Il limite della polizza copriva al massimo un terzo del danno stimato.
Segnale di cumulo per il portafoglio.
Cumulo per attore: a luglio 2025 quattro persone sono state arrestate per gli attacchi a M&S, Co-op e Harrods (The Record).