El conocido minorista británico Marks & Spencer (M&S) ha confirmado un ciberataque que ha afectado directamente a su servicio de pedidos «Click and Collect», provocando retrasos y una cascada de dudas sobre el alcance real del incidente.
Marks & Spencer Group plc (M&S) es una empresa multinacional británica de retail con sede en Londres, conocida por vender ropa, productos alimentarios de alta calidad, artículos para el hogar y belleza. Es uno de los minoristas más emblemáticos del Reino Unido, con más de 140 años de historia. Al ser una empresa que maneja millones de datos de clientes y opera a través de plataformas digitales, M&S es un objetivo lógico para ciberataques.
A través de un comunicado oficial enviado a la Bolsa de Londres, la empresa ha asegurado que está trabajando con expertos en ciberseguridad para mitigar las consecuencias de este ataque. Aunque no han dado detalles técnicos sobre la naturaleza del incidente, el hecho de que hayan notificado a las autoridades de protección de datos y al Centro Nacional de Ciberseguridad (NCSC) del Reino Unido deja claro que el ataque ha sido lo suficientemente serio como para activar todos los protocolos de emergencia.
Lo que se sabe hasta ahora del ciberataque
La empresa ha preferido la cautela, limitándose a reconocer que se han visto obligados a realizar “cambios menores y temporales” en sus operaciones para proteger tanto a los clientes como al negocio. Las tiendas físicas permanecen abiertas, y tanto la web como la app funcionan con normalidad, pero el sistema de recogida de pedidos está funcionado mucho más lento.
En un email enviado a los clientes afectados, M&S se ha disculpado por los inconvenientes y ha pedido paciencia: que esperen a recibir un correo de confirmación antes de acudir a recoger sus pedidos. Algo que, aunque no parece grave en términos técnicos, revela el impacto directo de los ciberataques en la experiencia de usuario.
Autoría del ataque
Hasta el momento, ningún grupo de ransomware ha reclamado la autoría del ataque. Pero eso no significa que no lo sea. De hecho, en este tipo de situaciones, los atacantes suelen mantener el silencio mientras negocian con la víctima el posible pago de un rescate.
La lógica es sencilla: si el ataque ha incluido robo de datos (clientes, empleados, proveedores), estos pueden ser utilizados como palanca de extorsión. A falta de confirmación oficial, este escenario no se puede descartar.
En los últimos años, ataques similares han seguido este mismo patrón: irrumpir en los sistemas, extraer datos sensibles y luego amenazar con filtrarlos públicamente si no se paga una suma determinada en criptomonedas. ¿Estamos ante otro caso de este tipo?
Lecciones del ciberataque a Marks & Spencer para el entorno empresarial español
Aunque M&S sea una empresa británica, este incidente nos afecta de lleno también aquí, sobre todo a nivel de concienciación empresarial.
- Primero, porque muchas empresas españolas utilizan infraestructuras similares, servicios de terceros y proveedores globales.
- Segundo, porque los ataques de ransomware y los accesos no autorizados no conocen fronteras.
- Y tercero, porque la experiencia demuestra que la transparencia es clave en la gestión de este tipo de crisis.
En un país donde el Reglamento General de Protección de Datos (RGPD) impone obligaciones claras, especialmente en caso de brechas de seguridad, una buena comunicación con los clientes y las autoridades es esencial. En eso, M&S ha actuado con rapidez. Aunque sin entrar en detalles técnicos, ha reconocido el incidente y ha puesto en marcha las acciones correspondientes.
Lo que está viviendo Marks & Spencer no es un caso aislado. Cada semana, empresas de todos los tamaños —y también ayuntamientos, centros médicos o universidades— se ven afectadas por ataques que buscan dinero, datos o simplemente causar daño.
