Marks & Spencer después de la tormenta digital: Reconstruyendo un imperio minorista
Cuatro detenidos — Los hackers previstos detrás del ataque de mil millones de libras
La mañana del 10 de julio, barrios tranquilos de Londres y Staffordshire fueron sacudidos por redadas policiales coordinadas. Cuatro jóvenes, de entre 17 y 20 años, fueron arrestados por su presunta implicación en el ciberataque que paralizó digitalmente a Marks & Spencer, el gigante británico del comercio minorista, seis semanas antes.
No eran criminales internacionales ni expertos veteranos. Eran adolescentes, estudiantes, trabajadores autónomos — supuestamente vinculados al grupo de ciberdelincuentes Scattered Spider (UNC3944), conocido por ataques anteriores a corporaciones como MGM Resorts. Esta vez, el objetivo no era Las Vegas, sino Londres. Y la víctima, una institución británica.
Las consecuencias fueron devastadoras. Durante 46 días, las operaciones digitales se detuvieron. Las cadenas de suministro colapsaron. Se filtraron datos de clientes. Las pérdidas totales se estiman en más de mil millones de libras.
¿El detalle más inquietante? Cy-Napea® lo predijo.
El 26 de mayo, apenas un día después del ataque, Cy-Napea® publicó el artículo “The Day Marks & Spencer Fell: A Cyber Catastrophe That Shook Retail”, en el que se identificaba a Scattered Spider como los posibles autores, se describía el ransomware DragonForce y se analizaban las vulnerabilidades en la red de proveedores — mucho antes de que las autoridades oficiales reaccionaran.
En su momento, el análisis fue considerado especulativo. Hoy parece una reconstrucción exacta del ataque.
Las detenciones confirman lo que Cy-Napea® ya había anticipado: el crimen digital es joven, descentralizado y sorprendentemente eficaz. La imagen del hacker solitario en una habitación oscura ha sido reemplazada por adolescentes capaces de desmantelar empresas desde sus dormitorios o cafeterías.
Marks & Spencer no fue solo una víctima. Fue el campo de pruebas de una nueva generación de amenazas digitales — y nosotros documentamos cada paso antes de que se disipara el humo.
Cronología de un colapso — Cómo los hackers orquestaron el asedio digital
El ataque a Marks & Spencer no fue un golpe repentino. Fue una operación meticulosa, desplegada en varias fases, diseñada para infiltrarse sin ser detectada y paralizar por completo la infraestructura digital de la empresa. A continuación, se detalla la cronología reconstruida y las tácticas utilizadas por los atacantes.
21–24 de mayo: Infiltración silenciosa
Los investigadores creen que el acceso inicial ocurrió varios días antes del despliegue del ransomware.
El punto de entrada fue un proveedor externo vinculado a logística y gestión de inventario.
Mediante técnicas de spear-phishing, los atacantes se hicieron pasar por empleados de M&S para obtener credenciales.
Con esas credenciales, se desplazaron lateralmente por la red interna, evitando los sistemas de alerta.
25 de mayo: Activación del ransomware
A las 03:43 BST, el ransomware fue activado en los sistemas centrales de Marks & Spencer.
El malware utilizado: DragonForce, una variante modular del modelo RaaS (Ransomware-as-a-Service).
En menos de 15 minutos, los sistemas críticos fueron cifrados: comercio electrónico, seguimiento de pedidos y bases de datos de clientes.
El equipo de TI sospechó inicialmente de una falla interna, pero pronto comprendió la magnitud del ataque.
El servicio Click & Collect fue suspendido, los servidores dejaron de responder.
Al mediodía, toda la plataforma digital estaba fuera de servicio.
26 de mayo: Cy-Napea® lanza la alerta
Mientras los medios guardaban silencio, Cy-Napea® publicó su análisis:
“The Day Marks & Spencer Fell: A Cyber Catastrophe That Shook Retail”
El artículo identificaba a Scattered Spider (UNC3944) como los posibles autores, describía el uso de DragonForce y señalaba las debilidades en la cadena de proveedores.
Fue la primera advertencia pública sobre la tormenta digital en curso.
27 de mayo – 15 de junio: Contención y análisis forense
Marks & Spencer activó protocolos de emergencia.
La comunicación con los clientes fue limitada; la prioridad era contener el daño.
Los análisis forenses revelaron que el acceso inicial se produjo a través de un proveedor comprometido.
Los datos filtrados incluían nombres, fechas de nacimiento y correos electrónicos — los datos de pago no fueron afectados.
Las pérdidas operativas se estimaron en 300 millones de libras.
16 de junio – 9 de julio: Silencio operativo y cooperación internacional
Detrás de escena, la NCA, Interpol y el FBI comenzaron a rastrear las huellas digitales de los atacantes.
Las transacciones en criptomonedas ayudaron a localizar a los sospechosos.
Se compararon patrones de comportamiento con ataques previos atribuidos a Scattered Spider.
Dos individuos fueron identificados tras jactarse en foros del dark web.
10 de julio: Arrestos al amanecer
Se realizaron redadas en Londres, Staffordshire y West Midlands.
Cuatro sospechosos fueron detenidos: un joven de 17 años, dos de 19 (uno de ellos ciudadano letón) y una mujer de 20 años.
Los dispositivos incautados contenían comunicaciones con intermediarios de ransomware, manuales de formación y registros de pagos.
El ataque a Marks & Spencer fue una operación calculada, ejecutada con precisión y diseñada para explotar tanto vulnerabilidades técnicas como humanas.
Anatomía del ataque — Las técnicas detrás del colapso digital
El colapso de Marks & Spencer no fue producto de una falla técnica aislada. Fue el resultado de una operación cibernética sofisticada, basada en manipulación psicológica, ingeniería social y una ejecución metódica. En esta parte, analizamos las tácticas utilizadas por los atacantes — estrategias que siguen superando las defensas tradicionales.
Ingeniería social: el acceso a través de la confianza
Los hackers no comenzaron atacando sistemas, sino personas.
Se hicieron pasar por empleados o proveedores de M&S mediante correos falsificados, perfiles de LinkedIn manipulados e incluso videollamadas simuladas.
Engañaron a terceros para obtener credenciales privilegiadas.
Con esos accesos, lograron infiltrarse en la red sin activar alertas.
Movimiento lateral y exploración de la red
Una vez dentro, los atacantes se movieron con cautela.
Utilizaron las credenciales robadas para desplazarse lateralmente entre sistemas internos.
Identificaron puntos débiles como servidores poco monitoreados y comparticiones temporales de archivos.
Establecieron una infraestructura de comando y control (C2) estable y discreta.
Algunos accesos comprometidos permanecieron activos por más de 72 horas antes de que se activara el ransomware.
Despliegue de DragonForce
El 25 de mayo, el ataque alcanzó su punto máximo.
Se activó el ransomware DragonForce, una variante modular del modelo RaaS (Ransomware-as-a-Service).
En menos de 15 minutos, los sistemas críticos fueron cifrados.
El malware incluía scripts para exfiltrar datos personales como nombres, correos electrónicos y fechas de nacimiento.
Las herramientas internas de recuperación fueron bloqueadas.
Colapso de la infraestructura
El impacto fue inmediato.
Se suspendieron las ventas en línea y el servicio Click & Collect.
Los sistemas logísticos fallaron, provocando errores de inventario y pedidos perdidos.
Incluso los sistemas de respaldo fueron comprometidos, impidiendo la recuperación manual.
Eliminación de rastros
Los atacantes actuaron con disciplina profesional.
Manipularon registros del sistema y marcas de tiempo para dificultar el análisis forense.
Utilizaron redes como Tor y canales cifrados en Telegram para comunicarse.
Los pagos en criptomonedas fueron canalizados mediante servicios de mezcla, dificultando su rastreo.
Este nivel de sofisticación sugiere formación avanzada o apoyo de grupos criminales organizados.
Marks & Spencer no fue víctima de un simple malware. Fue desmantelada paso a paso por una estrategia que combinó engaño humano y precisión técnica.
Renacimiento — Cómo Marks & Spencer recuperó el control
Tras el ataque, Marks & Spencer se enfrentó a un panorama digital devastado: sistemas paralizados, confianza del cliente erosionada y pérdidas financieras multimillonarias. En lugar de ocultarse, la empresa optó por la transparencia, la innovación y una reconstrucción audaz.
Recuperación operativa e inversión estratégica
La compañía destinó 150 millones de libras a reforzar su ciberseguridad, en colaboración con equipos forenses internacionales.
Medidas clave:
Creación de un Centro de Operaciones de Seguridad (SOC) 24/7
Implementación de una arquitectura Zero Trust en toda la red corporativa
Capacitación interna sobre phishing y verificación de proveedores
Publicación de informes de transparencia y compensaciones para clientes afectados
Según DigitalCloudUK, esta transformación representa la modernización tecnológica más ambiciosa en la historia de M&S.
Reconstrucción de la confianza digital
Más allá de lo técnico, M&S se enfocó en recuperar la credibilidad de su marca.
Acciones implementadas:
Activación de autenticación de dos factores para todos los clientes
Despliegue de copias de seguridad en la nube descentralizadas
Integración de inteligencia artificial conductual para detectar anomalías y suplantaciones
De acuerdo con Infosecurity Magazine, estas medidas podrían convertirse en referencia para todo el sector minorista británico.
Prueba de laboratorio: Cy-Napea® frente a DragonForce
Para validar sus defensas, Cy-Napea® recreó el ataque en un entorno controlado, utilizando la misma variante del ransomware DragonForce.
Resultados:
El sistema EDR (Endpoint Detection & Response) detectó y neutralizó la amenaza en menos de 3 segundos
Se logró una restauración automática sin pérdida de datos
No se observó cifrado ni exfiltración durante el experimento
Este test demuestra que una defensa proactiva puede detener incluso las amenazas RaaS más avanzadas. Cy-Napea® publicará próximamente un informe técnico completo con la metodología utilizada.
Fuentes y transparencia
Este contenido se basa en análisis internos de Cy-Napea® y fuentes públicas verificadas.
Fuentes:
“The Day Marks & Spencer Fell” – Blog de Cy-Napea®
Marks & Spencer no solo sobrevivió a la tormenta — redefinió lo que significa ser resiliente en la era digital. Y Cy-Napea® estuvo allí: como alerta temprana, como analista y como prueba de que la defensa puede ser más rápida que el ataque.
