Cyberattaque : le click & collect de M&S revient, l’addition est salée

Le « click & collect » concentre, depuis des années, la promesse d’un commerce unifié : c’est rapide, pratique, moins coûteux que la livraison à domicile, et cela irrigue la fréquentation des magasins, même en période de cyberattaque. Chez M&S, ce maillon a cédé le premier, révélant l’ampleur de la fragilité systémique. Selon Reuters l’enseigne a stoppé, dès le 25 avril, commandes web et retraits en boutique pour l’habillement et la maison, trois jours après avoir signalé un « incident cybernétique » ; la remise en route s’est faite par étapes, avec les livraisons en ligne le 10 juin, puis ce rétablissement du « click & collect ».

Au-delà de l’opérationnel, la cyberattaque a un coût. M&S a chiffré, en mai, l’impact à environ 300 millions de livres sterling sur le résultat d’exploitation 2025/2026, avec l’espoir d’en réduire la moitié via l’assurance et des actions de coûts. Dans la foulée de l’annonce du 11 août, le titre M&S a progressé d’environ 2 % en séance, tout en restant en retrait d’environ 10 % depuis le début de l’année, autre reflet financier de la cyberattaque.

L’onde de choc déborde la seule ligne « clothing & home ». Reuters souligne que la cyberattaque et la mise hors ligne d’autres systèmes ont réduit la disponibilité de produits en magasin, en habillement comme en alimentaire. L’effet n’est pas structurellement irréversible, mais il illustre comment une cyberattaque bouleverse la micro-économie d’un parc de magasins.

Selon Reuters, article du 11 août 2025, le président de M&S, Archie Norman, a déclaré aux parlementaires que l’enseigne pense que l’attaque par rançongiciel a été conduite par le groupe DragonForce, une organisation déjà citée dans d’autres affaires récentes. L’affaire a aussi donné lieu, en juillet, à quatre arrestations au Royaume-Uni dans le cadre d’investigations concernant M&S, Co-op et Harrods, signe d’une réponse pénale renforcée face aux intrusions aux effets systémiques.

Reuters précise que M&S « espère » couvrir environ la moitié de l’impact par les polices souscrites et par la maîtrise des coûts, mais cette récupération est conditionnelle, documentée, parfois longue à arbitrer après une cyberattaque. Les contrats d’assurance cyber s’activent sur des périmètres précis — interruption d’activité, frais de remédiation, notification des personnes concernées — et n’absorbent pas nécessairement l’intégralité des pertes d’exploitation.

Le retour du « click & collect » referme la phase aiguë de la cyberattaque, sans effacer les traces laissées sur la chaîne d’approvisionnement numérique, l’expérience client et le compte de résultat.