Cyberattaque chez Marks & Spencer : six semaines sans ventes en ligne, les leçons pour l’e-commerce

Au printemps 2025, une cyberattaque a privé Marks & Spencer de sa boutique en ligne pendant environ six semaines, pour un impact estimé à 300 millions de livres. Ce que cela enseigne aux marques qui vendent en ligne.

Fin avril 2025, le distributeur britannique Marks & Spencer a été frappé par une cyberattaque majeure. L’entreprise a dû suspendre les commandes sur son site et son application, qui n’ont repris que vers le 21 mai, soit environ six semaines plus tard.

Les conséquences

• Des ventes en ligne interrompues pendant plusieurs semaines.
• Des rayons vides dans certains magasins, la chaîne d’approvisionnement étant perturbée.
• Un impact estimé par l’entreprise à environ 300 millions de livres sur son bénéfice d’exploitation, avant assurance et mesures de compensation.
• Une forte baisse de la valeur boursière dans les jours qui ont suivi.

Comment les attaquants sont entrés

Selon la presse, l’accès aurait été obtenu par l’intermédiaire d’un prestataire, grâce à de l’ingénierie sociale : convaincre une personne, souvent un service d’assistance, de réinitialiser un accès. Le groupe Scattered Spider a été largement cité, sans confirmation officielle.

Les leçons pour une boutique en ligne

• Encadrer strictement la réinitialisation des mots de passe : vérification d’identité solide, jamais sur simple appel.
• Donner aux prestataires uniquement les accès nécessaires, et les retirer à la fin de leur mission.
• Garder des sauvegardes isolées et un plan pour remettre la boutique en ligne rapidement.
• Prévoir un mode dégradé : prise de commande par WhatsApp ou par téléphone si le site est indisponible.

Une question de continuité, pas seulement de sécurité

Pour une marque qui vend en ligne, chaque jour d’arrêt coûte des ventes et de la confiance. La sécurité se prépare donc comme la continuité de l’activité : qui fait quoi, et comment on continue à servir les clients pendant l’incident.

La faille la plus exploitée n’est pas toujours technique : c’est souvent un appel bien préparé.

Sources : communications de Marks & Spencer et presse britannique (Al Jazeera, LBC, City AM), mai 2025.

Vous voulez une boutique en ligne plus robuste ? Décrivez votre projet dans notre formulaire d’estimation : nous vous répondons avec une estimation adaptée et les prochaines étapes.