Jeden podvržený uživatel a 300 milionů liber. Co se malá firma může naučit z útoku na Marks & Spencer

Marks & Spencer je jeden z největších britských obchodních řetězců. Letos na jaře na několik týdnů zastavil online prodej oblečení, v některých obchodech chybělo zboží a útočníci odnesli osobní údaje zákazníků. Firma odhaduje dopad na provozní zisk zhruba na 300 milionů liber, tedy přes 8 miliard korun.

Minulý týden, 8. července, vypovídal předseda M&S Archie Norman před výborem britského parlamentu. A řekl větu, kvůli které tenhle článek píšu.

Jak se dostali dovnitř

Útočníci se do systémů M&S dostali 17. dubna, firma je odhalila o dva dny později. Podle Normana šlo o „sofistikované vydávání se“ za jednoho z uživatelů, kteří pro M&S pracují z externí firmy.

Žádný exotický virus. Někdo se úspěšně vydával za někoho jiného.

Ve stejné době napadli i síť Co-op. Tam útočníci podle firmy postupovali podobně: vydávali se za zaměstnance, odpověděli na bezpečnostní otázky a nechali si resetovat přístup k účtu.

Proč o tom píšu malým firmám

Protože tenhle postup nepotřebuje velkou firmu. Potřebuje jen člověka, který chce pomoct.

V malé firmě to vypadá takhle:

• Volá „kolega z IT dodavatele“, že musí kvůli aktualizaci znovu nastavit heslo, a potřebuje kód, který vám právě přišel.
• Píše „jednatel z dovolené“, že ztratil telefon a potřebuje rychle poslat platbu.
• Ozve se „dodavatel“, že změnil banku, a posílá nové číslo účtu.

Ve všech třech případech je útočník slušný, ví pár věcí o vaší firmě a spěchá. A ve všech třech případech nerozhoduje technika, ale to, jestli má člověk na druhé straně jasné pravidlo, co dělat.

Tři pravidla, která bych zavedl hned

1. Ověření jiným kanálem. Kdo chce změnu hesla, přístupu nebo čísla účtu, toho ověřím na čísle, které už znám. Ne na čísle z e-mailu ani z hovoru, který právě probíhá.
2. Kódy se neříkají nikomu. Ověřovací kód z SMS nebo aplikace nepatří do telefonu ani do e-mailu. Ani „IT podpoře“, ani „bance“.
3. Spěch je signál ke zpomalení. Když na vás někdo tlačí, je to přesně ta chvíle, kdy se máte zastavit a ověřit si to.

Tato pravidla nic nestojí. Musí je ale znát všichni, včetně recepce, účetní a obchodníků, kteří občas „jen pomohou“.

Co si z toho odnést

M&S má bezpečnostní tým, rozpočet i pojištění. Přesto podle vlastního předsedy stačilo, aby se někdo úspěšně vydával za jiného člověka. Malá firma tohle všechno většinou nemá. O to víc záleží na tom, co udělá první člověk, kterému útočník zavolá nebo napíše.

Zdroje: výpověď Archieho Normana před výborem pro obchod britské Dolní sněmovny, 8. 7. 2025 (Claims Journal / Bloomberg, 8. 7. 2025); Retail Systems, 21. 5. 2025.