Marks & Spencer: 300 milioni di impatto, 100 di polizza

Ad aprile 2025 un attacco partito da una password reimpostata presso un help desk esterno ha fermato per 46 giorni gli ordini online di Marks & Spencer, con un impatto stimato di 300 milioni di sterline e una polizza cyber fino a 100 milioni. L'analisi: limite e danno, help desk, cumulo per attore e domande per i rinnovi.

Archivio: ricostruzione scritta a novembre 2026

Tema del mese di aprile 2025 · di cybercoverinsurance

Ad aprile 2025 Marks & Spencer, una delle maggiori catene della distribuzione britannica, ha subito un attacco che ha fermato gli ordini online per 46 giorni, svuotato parte degli scaffali e portato al furto di dati dei clienti. A maggio l'azienda ha stimato un impatto di circa 300 milioni di sterline sull'utile operativo dell'anno. Secondo il Financial Times, la richiesta alla polizza cyber arrivava al massimo a 100 milioni.

Il caso è utile per chi assume il rischio cyber perché i numeri sono pubblici: l'impatto stimato, i costi diretti e l'importo massimo assicurato. Mostra la distanza tra il danno economico di un grande retailer e la copertura che il mercato offre, e il peso di un help desk esterno come punto d'ingresso.

Cosa si sa

L'ingresso. Il presidente Archie Norman ha detto al Parlamento britannico che l'ingresso è avvenuto il 17 aprile con una «sofisticata impersonificazione»: gli attaccanti, con i dati di un dipendente, hanno convinto un fornitore terzo a reimpostarne la password. Secondo fonti di BleepingComputer, attori legati a Scattered Spider hanno poi cifrato numerosi server VMware ESXi con il ransomware DragonForce e sottratto circa 150 GB di dati. Norman non ha voluto dire se sia stato pagato un riscatto (BleepingComputer).

Il fermo. L'attacco è arrivato intorno al fine settimana di Pasqua. M&S ha scollegato sistemi di magazzino e ordini online. Il 13 maggio ha confermato il furto di dati personali dei clienti. Il 10 giugno, dopo 46 giorni, ha ripreso gli ordini online per alcune linee di abbigliamento, con solo consegna standard. Nel punto più basso il titolo aveva perso circa il 16%, più di 1 miliardo di sterline di capitalizzazione (The Register). Il ritiro in negozio è tornato ad agosto (The Record).

La stima di maggio. Il 21 maggio M&S ha indicato un calo dell'utile operativo di circa 300 milioni di sterline per l'anno, da ridurre con gestione dei costi, assicurazione e altre azioni. Tra i dati sottratti: nomi, email, indirizzi postali e date di nascita. Sprechi e costi logistici sono aumentati per il passaggio a processi manuali (PA via Hargreaves Lansdown).

La copertura. Secondo il Financial Times, ripreso da IADS, il pagamento assicurativo poteva arrivare a 100 milioni di sterline. Allianz era l'assicuratore primario per i primi 10 milioni, con Beazley tra gli esposti (IADS).

Il conto a novembre. Nei risultati semestrali del 5 novembre 2025 M&S ha registrato 101,6 milioni di sterline di oneri per l'incidente, di cui 83 milioni per risposta e ripristino dei sistemi, e ne ha previsti altri 34 nel secondo semestre, per circa 136 milioni in totale. L'utile rettificato del semestre è sceso del 55,4% a 184,1 milioni (The Register). L'utile ante imposte contabile è passato da 391,1 a 3,4 milioni, con il pagamento assicurativo da 100 milioni ad attenuare il colpo (The Record).

Gli sviluppi. A luglio 2025 quattro persone sono state arrestate per gli attacchi a M&S, Co-op e Harrods (The Record). A ottobre 2025 M&S ha chiuso il contratto di help desk IT con Tata Consultancy Services. TCS ha dichiarato di non aver trovato segni di compromissione nella propria rete, ed entrambe le aziende hanno detto che la decisione precede l'attacco (Retail Systems).

Cosa non è noto. Non è stato reso pubblico chi fosse il fornitore ingannato, se sia stato pagato un riscatto né il dettaglio della polizza (limiti, franchigie, periodo di indennizzo).

Il danno e la copertura

Un terzo dell'impatto, al massimo. Contro una stima di 300 milioni di sterline di utile operativo perso, la richiesta massima alla polizza era di 100 milioni. Anche nel caso migliore, due terzi dell'impatto stimato restavano a carico dell'azienda. È uno dei casi più documentati di sottoassicurazione di un grande gruppo rispetto al proprio scenario cyber peggiore.

I costi diretti sono vicini al limite. I costi diretti dichiarati, circa 136 milioni, superano già da soli il massimo assicurato. La parte di interruzione dell'attività, cioè vendite online perse e margini ridotti, resta quasi tutta scoperta. Per chi assume il rischio, la domanda non è solo quanto vale il limite, ma quale parte del danno lo consuma per prima.

Il limite riflette il mercato, non lo scenario. Una catena con 13,8 miliardi di sterline di ricavi annui difficilmente trova capacità cyber pari al proprio scenario peggiore. Il caso M&S mostra che i grandi gruppi devono decidere in modo esplicito quanto rischio cyber trattenere, non scoprirlo dopo il sinistro.

L'help desk è il perimetro

La password reimpostata è la porta. L'attacco non ha sfruttato una vulnerabilità tecnica, ma la procedura di reimpostazione delle credenziali. Chi gestisce l'help desk, interno o esterno, decide chi può ottenere un nuovo accesso. È lo stesso schema di Transport for London nel 2024, attribuito anch'esso a membri di Scattered Spider.

Il fornitore esterno porta il rischio dentro. L'help desk era affidato a un terzo, con il potere di reimpostare password. Le domande del questionario su autenticazione a più fattori e formazione non bastano se la verifica dell'identità al telefono è debole. Serve sapere come il fornitore verifica chi chiama, soprattutto per gli account privilegiati.

La rivalsa verso il fornitore è incerta. TCS ha negato che la compromissione sia partita dalla propria rete. Per l'assicuratore di M&S, la surrogazione verso il fornitore dell'help desk dipende da prove e contratti che non sono pubblici, ed è comunque limitata dai tetti di responsabilità contrattuali.

Cumulo per attore e per settore

Tre retailer in poche settimane. Gli arresti di luglio riguardano gli attacchi a M&S, Co-op e Harrods (The Record). Attacchi collegati, con la stessa tecnica, hanno colpito un settore in sequenza. Per un portafoglio, il cumulo non passa solo da un fornitore comune, ma anche da un attore che sceglie un settore.

Il concorrente guadagna, l'assicuratore no. Next ha registrato vendite in crescita del 7,6%, anche per le difficoltà dei concorrenti (The Record). Il danno di un retailer non scompare dal mercato, ma per chi assicura molti retailer della stessa area la sequenza di attacchi conta più del singolo evento.

Cosa portare ai rinnovi

Impatto per gli assicuratoriAlto

Un attacco partito dalla reimpostazione di una password presso un help desk esterno ha fermato per 46 giorni le vendite online di un grande retailer, con un impatto stimato pari a tre volte il massimo assicurato.

Sul fronte del portafoglio, il caso suggerisce di trattare i retailer della stessa area come un gruppo esposto allo stesso attore, e di chiedere chi fornisce l'help desk: lo stesso fornitore al servizio di più assicurati è un punto di cumulo da conoscere.