Rançongiciel DragonForce chez Marks & Spencer (Scattered Spider, 2025)
L'ingénierie sociale d'un service d'assistance tiers a permis à Scattered Spider d'obtenir un compte administrateur de domaine, utilisé pour déployer le rançongiciel DragonForce sur le parc VMware ESXi de M&S pendant le week-end de Pâques 2025 — paralysant les paiements sans contact, le Click & Collect et les commandes en ligne pendant plus de six semaines.
- Victime
- Marks & Spencer
- Perte
- $550.0M
En avril 2025, Marks & Spencer — l'un des plus grands distributeurs du Royaume-Uni — a été paralysé par une attaque par rançongiciel qui a fait le pont entre deux des groupes d'extorsion anglophones les plus prolifiques : Scattered Spider pour l'intrusion initiale, DragonForce pour la charge de chiffrement. La perturbation a défini le récit cyber de la distribution britannique en 2025 et constitue désormais un cas de référence pour l'ingénierie sociale des services d'assistance.
Ce qui s'est passé
Les attaquants ont compromis M&S dès février 2025 en se faisant passer pour un employé lors d'un appel à un service d'assistance tiers qui a alors effectué une réinitialisation de mot de passe à leur profit. À partir de ce point d'ancrage, ils ont obtenu des privilèges d'administrateur de domaine et exfiltré le fichier Active Directory NTDS.dit (qui contient les empreintes de chaque compte du domaine).
La perturbation est devenue visible pour les clients pendant le week-end de Pâques, du 19 au 21 avril 2025, lorsque les paiements sans contact et le Click & Collect ont commencé à tomber en panne en magasin. Le 24 avril, les opérateurs ont déployé le rançongiciel DragonForce contre les hôtes VMware ESXi de M&S, chiffrant les machines virtuelles qui faisaient tourner l'e-commerce, le traitement des paiements et la logistique. L'entreprise a suspendu les commandes en ligne le lendemain ; le site web n'est pas pleinement revenu avant plus de six semaines.
Le PDG de M&S, Stuart Machin, a reçu un message narquois de DragonForce envoyé depuis un compte interne d'employé M&S, confirmant à la fois l'attribution et la profondeur de l'accès.
Impact
- Commandes en ligne hors ligne pendant ~46 jours (du 25 avril au 10 juin 2025).
- Impact annuel estimé sur le bénéfice : 300 millions de livres ; impact économique total estimé par le UK Cyber Monitoring Centre à 270–440 millions de livres (350–550 M$) pour la campagne combinée M&S / Co-op / Harrods.
- Le vol des empreintes Active Directory implique que chaque identifiant de domaine M&S devait être considéré comme compromis et renouvelé.
- Quatre arrestations par la National Crime Agency britannique en juillet 2025, dont un adolescent de 17 ans, liées à la campagne contre les distributeurs britanniques.
Pourquoi c'est important
L'intrusion n'a pas nécessité de faille zero-day ni d'implant sophistiqué — elle a nécessité un appel téléphonique à un service d'assistance et la volonté de lire un script. Le maillon faible était un prestataire de support tiers ayant l'autorité de réinitialiser les mots de passe de comptes à privilèges. La vérification d'identité au service d'assistance figure désormais en tête de l'agenda de chaque RSSI de la distribution britannique.
Impact financier
Coûts déclarés en USD
- Perte d’exploitation$400.0M
Chronologie
Les attaquants obtiennent un accès initial au réseau de M&S et exfiltrent le fichier Active Directory NTDS.dit après avoir obtenu par ingénierie sociale une réinitialisation de mot de passe auprès d'un service d'assistance tiers.
Week-end de Pâques : les paiements sans contact en magasin et les retraits Click & Collect commencent à échouer dans tout le Royaume-Uni.
Le rançongiciel DragonForce est déclenché contre les hôtes VMware ESXi de M&S, chiffrant les machines virtuelles qui font tourner l'e-commerce, les paiements et la logistique.
M&S suspend les achats en ligne via son site web et son application mobile.
M&S remet son site web en ligne en mode lecture seule.
Reprise limitée des commandes de vêtements en ligne après 46 jours d'interruption.
La National Crime Agency britannique arrête quatre personnes, dont un adolescent de 17 ans, en lien avec les attaques contre M&S, Co-op et Harrods.
Sources
- blackfog.comhttps://www.blackfog.com/marks-and-spencer-ransomware-attack/
- thehackernews.comhttps://thehackernews.com/2025/07/four-arrested-in-440m-cyber-attack-on.html
- picussecurity.comhttps://www.picussecurity.com/resource/blog/dragonforce-ransomware-attacks-retail-giants
- specopssoft.comhttps://specopssoft.com/blog/marks-spencer-ransomware-active-directory/