Zürcher Nachrichten - Victime d'une cyberattaque, Marks & Spencer chiffre l'impact à 300 millions de livres

"Notre estimation actuelle (...) prévoit un impact d'environ 300 millions de livres (355 millions d'euros, ndlr) sur le résultat opérationnel du groupe pour l’exercice 2025/26, qui sera réduit grâce à une gestion rigoureuse des coûts, aux assurances et à d'autres actions commerciales", écrit l'entreprise dans un communiqué.

M&S pourrait être victime d'un rançongiciel, qui exploite les failles de sécurité d'une organisation pour chiffrer et bloquer ses systèmes informatiques, exigeant une rançon pour les débloquer. Mais l'entreprise ne l'a pas confirmé.

Outre M&S, l'enseigne Co-op a également été victime d'une attaque du même genre, tout comme le prestigieux grand magasin londonien Harrods, contraint de restreindre l'accès à Internet depuis ses locaux au début du mois.

"Le groupe connu publiquement sous le nom de Scattered Spider" est suspecté, "mais nous avons toute une série d'hypothèses différentes", a déclaré à la BBC Paul Foster, chef de l'unité nationale de lutte contre la cybercriminalité de l'agence britannique NCA.

"Nous savons que Scattered Spider est largement anglophone, mais cela ne signifie pas nécessairement qu'ils sont au Royaume-Uni. Nous savons qu'ils communiquent en ligne entre eux sur un éventail de plateformes et de canaux différents, ce qui est, je suppose, essentiel pour leur permettre d'opérer en tant que collectif", a-t-il ajouté.

- Vol de données personnelles -

Les perturbations liées à l'attaque, qui ont notamment contraint l'entreprise à suspendre ses ventes en ligne ou le paiement sans contact, se poursuivront jusqu'en juillet, anticipe M&S.

"Les ventes alimentaires ont été affectées par une disponibilité réduite des produits", avec parfois des rayons vides, "bien que la situation s'améliore" et dans les secteurs de l'habillement, de la maison et de la beauté "les ventes en ligne et le résultat opérationnel ont été fortement touchés" par la suspension temporaire des achats sur internet, ajoute l'entreprise.

"Nous nous concentrons désormais sur la reprise, visant à restaurer nos systèmes, nos opérations et notre offre client au cours du premier semestre", ajoute-t-elle.

L'enseigne avait révélé mi-mai que certaines données personnelles de ses clients avaient été dérobées dans le cadre de cette cyberattaque, qui a débuté mi-avril, mais pas les détails de paiement ou les mots de passe des comptes.

Les 300 millions évoqués par M&S "montrent la gravité de la situation" et suggèrent "que les pirates informatiques ont causé des dommages considérables", selon Dan Coatsworth, analyste d'investissement chez AJ Bell.

- Possible amende -

Il souligne que l'entreprise pourrait être touchée par une amende du régulateur britannique de la protection des données (ICO) "pour ne pas avoir pris les mesures appropriées pour prévenir les violations de données" comme l'ont montré plusieurs exemples dans le passé; tels que British Airways ou Tesco Bank.

"M&S aurait souscrit une assurance qui couvrirait jusqu'à 100 millions de livres sterling de ces coûts", relaye pour sa part Aarin Chiekrie, analyste d'Hargreaves Lansdown. "La cyberattaque est probablement un événement ponctuel, et les activités sous-jacentes se portent bien."

Il remarque que "Marks & Spencer a pulvérisé ses prévisions de bénéfices annuels, grâce à la forte croissance de sa division alimentaire".

L'entreprise a présenté sur l'année un résultat net en baisse de près d'un tiers, à 295,7 millions de livres, contre 431,2 millions l'an passé. Celui-ci ne tient pas compte de l'impact du piratage.

Le chiffre d'affaires a lui augmenté de 6%, à 13,82 milliards de livres et le bénéfice opérationnel a atteint 624,3 millions de livres.

"Cet incident n'est qu'un accident de parcours, dont nous sortirons en meilleure forme", veut croire Stuart Machin, directeur général de M&S, qui compte maintenir sa stratégie et ses plans à long terme.

L'action du groupe était en hausse d'environ 0,85% mercredi vers 10H30 GMT à la Bouse de Londres.

B.Brunner--NZN