Il 13 maggio Marks & Spencer, una delle principali catene di negozi del Regno Unito, ha confermato che nell’attacco informatico cominciato a fine aprile sono stati rubati anche dati personali dei clienti. È l’ultimo capitolo di un’ondata di attacchi che ha colpito la grande distribuzione britannica.
Da fine aprile M&S ha sospeso gli ordini online e ha avuto problemi con i pagamenti contactless e con le consegne ai negozi, con scaffali vuoti in diversi punti vendita. Pochi giorni dopo anche Co-op ha dovuto spegnere parte dei suoi sistemi, e poi ha ammesso che gli attaccanti avevano sottratto dati dei soci.
Secondo M&S, i dati sottratti possono includere nomi, date di nascita, indirizzi di casa ed email, numeri di telefono, informazioni sul nucleo familiare e lo storico degli ordini online. Non ci sono dati di pagamento utilizzabili né password; l’azienda chiederà comunque ai clienti di reimpostare la password al prossimo accesso. Non risulta che i dati siano stati diffusi.
Gli attacchi sono stati rivendicati da DragonForce, un gruppo che affitta il proprio ransomware ad altri criminali. Le indagini, secondo la stampa britannica, si concentrano però su Scattered Spider, gruppo di giovani anglofoni noto per l’ingegneria sociale e già legato, nel 2023, all’attacco ai casinò di MGM a Las Vegas. Le aziende non hanno confermato nulla.
Di nuovo l’help desk
Diverse ricostruzioni raccontano lo stesso copione di MGM: una telefonata all’help desk, qualcuno che si finge un dipendente, una password reimpostata. Mettiti nei panni di chi risponde. Chi chiama conosce nomi e procedure interne, ha fretta, è gentile ma insistente, e il tuo lavoro è aiutare. Senza una procedura chiara che ti protegga, dire di no è difficilissimo.
Se gestisci un help desk, pretendi una verifica forte dell’identità prima di ogni reset di password o di autenticazione a più fattori, soprattutto per gli account amministrativi, e fai sapere al personale che rifiutare una richiesta dubbia è parte del lavoro. Passa a metodi di autenticazione resistenti al phishing, come le chiavi di sicurezza.
Se sei cliente di una di queste catene, diffida di email, SMS e telefonate che citano l’attacco o chiedono dati di pagamento. E se gestisci un’attività commerciale, chiediti come continueresti a vendere e consegnare con i sistemi principali spenti per un mese.
