Le président de Marks & Spencer a déclaré aux députés que la société était toujours en « mode reconstruire » – et sera pour « un certain temps à venir » – après une cyberattaque qui a conduit à des étagères vides et à des opérations en ligne limitées pendant des mois.
S’exprimant publiquement pour la première fois depuis l’attaque, Archie Norman a refusé de répondre si l’entreprise avait payé une rançon.
« C’est une décision commerciale, c’est une décision principale », a-t-il déclaré aux membres du Comité des affaires et du commerce (BTC).
« La question que vous devez poser est – et je pense que toutes les entreprises devraient se poser – est, quand ils regardent la demande, que reçoivent-ils?
« Parce que une fois que vos systèmes sont compromis et que vous devrez reconstruire de toute façon, peut-être qu’ils ont des données exfiltrées que vous ne voulez pas publier. Peut-être qu’il y a quelque chose là-bas, mais dans notre cas, les dégâts avaient été causés. »
Lorsqu’on lui a demandé à nouveau plus tard, M. Norman a déclaré: « Nous ne discutons aucun des détails de notre interaction avec l’acteur de menace, y compris ce sujet, mais ce sujet est entièrement partagé avec la NCA [National Crime Agency]. «
Il a ajouté: « Nous ne pensons pas que ce soit dans l’intérêt public d’y aborder ce sujet, car c’est une question d’application de la loi. »
L’entrée initiale dans les systèmes de M&S a eu lieu le 17 avril par « une usurpation d’identité sophistiquée » qui a impliqué un tiers, a déclaré M. Norman.
C’était deux jours plus tard, le samedi de Pâques, avant que l’entreprise ne prenne conscience de l’attaque, et environ une semaine après l’intrusion avant que le détaillant n’entende directement de l’attaquant.
Veuillez utiliser Chrome Browser pour un lecteur vidéo plus accessible
1:21 Qui est derrière M&S Cyberattack?
Un jour plus tard, après avoir appris l’attaque, les autorités ont été informées, alors que les clients ont été informés le mardi 22 avril, ont entendu des députés.
En plus des autorités britanniques, le FBI a été contacté, qui est « plus musclé dans cette zone » et a été « très favorable », a déclaré M. Norman.
Au moment où la violation est claire, les systèmes ont déjà été compromis, a déclaré le président.
Le groupe derrière l’attaque peut avoir été une araignée disperséedont certains seraient des adolescents anglophones, mais M. Norman a déclaré que M&S a pris une décision précoce que personne de l’entreprise ne s’occuperait directement de « l’acteur de menace ».
« Quiconque a subi un événement comme le nôtre, il serait stupide de dire qu’il n’y a pas mille choses que vous aimeriez avoir fait différemment », a-t-il ajouté.
« Assurez-vous que vous pouvez gérer des affaires sur le stylo et le papier »
Dans un avertissement aux autres entreprises, le conseiller général de M&S et le secrétaire de l’entreprise Nick Folland a déclaré que les entreprises devraient être prêtes à fonctionner sans systèmes informatiques.
« L’une des choses que nous dirions aux autres est de vous assurer que vous pouvez gérer votre entreprise sur le stylo et le papier », a-t-il déclaré.
M&S a triplé le nombre de personnes travaillant sur la cybersécurité à 80 et doublé ses dépenses, ont entendu les députés.
« Nous avons curieusement doublé notre couverture d’assurance l’année dernière », a ajouté M. Norman.
En savoir plus:
Royaume-Uni à manquer des échéances pour convenir de tarifs en acier et en aluminium
Impact « désastreux » du scandale des bureaux de poste énoncé par enquête
La couverture d’assurance « étendue » signifie que M&S prévoit de faire une « réclamation sans surprise » et de recevoir « une reprise substantielle », bien que le processus de découvrir combien prendra environ 18 mois, a déclaré le président.
Le Somme de 300 millions de livres sterling M&S a déclaré qu’il s’attendait à perdre à la suite de la cyberattaque n’inclue pas d’argent qu’elle prévoit de réclamer par assurance.