TFG London: ciberataque a Hobbs, Whistles y Phase Eight

TFG London, la división británica del grupo sudafricano The Foschini Group (TFG), ha sufrido un ciberataque que ha dejado fuera de servicio varios sistemas TI de tres marcas de moda: Phase Eight, Hobbs y Whistles. Lo publican The Register, The Record, BleepingComputer y Help Net Security, que citan el comunicado de la empresa del 13 de octubre de 2026.

Qué ha pasado

La empresa detectó el incidente el domingo 11 de octubre de 2026 y lo comunicó el martes 13 en un comunicado a los inversores, publicado según The Record a través del servicio de noticias de la Bolsa de Johannesburgo. Las fuentes coinciden en estos puntos:

• las tiendas siguen abiertas, pero varios sistemas TI siguen sin estar disponibles y algunas funciones de las webs de las marcas podrían no funcionar;
• TFG London activó sus planes de respuesta a incidentes y de continuidad de negocio, contrató especialistas externos de seguridad para contener el ataque e informó a las autoridades británicas competentes;
• la investigación aún debe determinar si se han visto comprometidos datos personales u otra información sensible; la empresa avisará a las personas y organizaciones afectadas si se confirma una brecha.

The Register informa de que la ICO, la autoridad británica de protección de datos, confirmó haber recibido una notificación de brecha de TFG Brands (London) Limited y que está evaluando la información.

TFG London escribió a sus clientes que los pedidos realizados a partir del domingo podrían sufrir retrasos (un email visto por The Telegraph, según The Register) y, según The Record, les pidió que no repitieran los pedidos. Los pagos los gestiona un proveedor externo y, con la investigación en curso, la empresa no tiene motivos para pensar que los datos de pago estén en riesgo. Solo The Record informa de que, por ahora, los clientes no necesitan cambiar la contraseña de su cuenta.

Alcance del incidente

El ataque afecta solo a las tres marcas. Las otras dos marcas de TFG London, White Stuff e Inside Story, no se han visto afectadas, como tampoco las actividades de TFG Africa y TFG Australia, que usan sistemas TI separados.

Según BleepingComputer, a mediados de 2026 TFG London contaba con 649 puntos de venta y 488 millones de libras en ventas anuales. El grupo, con sede en Ciudad del Cabo, tiene según The Record casi 5.000 tiendas en 18 países y unas 40 marcas.

The Record recuerda también que ya en 2026 las ventas online del grupo se vieron afectadas por un incidente informático de «un importante socio de concesión online», citado en los resultados de junio entre las causas de una caída de los beneficios de la división londinense de más del 65%. No hay ningún indicio de relación con el ataque actual.

Qué no se sabe

La información técnica pública es muy limitada:

• la empresa no ha dicho cómo entraron los atacantes ni si se usó un ransomware;
• no hay CVE, indicadores de compromiso ni técnicas documentadas;
• ningún grupo ha reivindicado el ataque: BleepingComputer no encontró reivindicaciones públicas y Help Net Security escribe que los autores son desconocidos;
• no hay fecha para la recuperación completa de los sistemas; TFG London no respondió a las preguntas de The Register.

Por eso no es posible describir la cadena de ataque ni asignar el incidente a técnicas de MITRE ATT&CK sin hacer suposiciones.

El contexto: la moda en el punto de mira

El ataque llega en un momento difícil para los minoristas de moda. Pocos días antes, ASOS confirmó que un atacante había obtenido las credenciales de un empleado haciéndose pasar por un contacto de confianza y había entrado en plataformas de terceros con datos de clientes (lo contamos en este artículo). H&M está verificando las afirmaciones de alguien que dice pertenecer a ShinyHunters, pero según la empresa hasta ahora no hay indicios de compromiso. The Record cita también los incidentes de Levi Strauss y De Bijenkorf en agosto y, en 2025, los de Marks & Spencer, Harrods, Louis Vuitton, Mango y Co-op.

Como subraya The Register, ninguna prueba relaciona el ataque a TFG London con los de ASOS y H&M.

Impacto para las empresas europeas e italianas

Dos elementos del caso son útiles para quien gestiona la seguridad en el retail.

El primero es la separación de sistemas: las marcas y las zonas geográficas con infraestructura TI separada siguieron operativas. El segundo es la continuidad de las tiendas: los comercios siguieron vendiendo mientras varios sistemas estaban caídos y, con los pagos en manos de un proveedor externo, la empresa por ahora no tiene motivos para pensar que los datos de pago estén en riesgo.

Para el RGPD, la duda sobre una posible exposición de datos de clientes debe evaluarse para la notificación a la autoridad de control en un plazo de 72 horas, como hizo TFG London con la ICO; en Italia la autoridad es el Garante. El comercio de ropa por lo general no figura entre los sectores NIS2 (en Italia, el Decreto Legislativo 138/2024), mientras que los marketplaces online están entre los proveedores digitales previstos por la directiva.

Qué hacer ya

1. Separa los entornos: marcas, países y canales de venta con dominios de identidad, redes y accesos administrativos distintos, para que una intrusión no se extienda a todo el grupo.
2. Prueba la continuidad de las tiendas: cajas y pagos que funcionen también con los sistemas centrales caídos, procedimientos manuales para pedidos y devoluciones, comunicaciones a los clientes ya preparadas.
3. Protege las credenciales y el servicio de asistencia: autenticación resistente al phishing para las cuentas privilegiadas y las plataformas SaaS de clientes, verificación de la identidad por un canal independiente antes de restablecer contraseñas o MFA.
4. Revisa a los proveedores: concesiones online, plataformas de comercio electrónico, logística y marketing, con accesos limitados y registros de acceso.
5. Vigila los accesos anómalos: nuevos administradores, accesos fuera de horario, exportaciones de datos, desactivación de los antivirus.
6. Avisa a los clientes: tras un incidente así, como aconseja BleepingComputer, los clientes de las marcas afectadas deben esperar intentos de phishing e ingeniería social en nombre de la empresa.

Cómo ayuda ARXDOME

ARX Sentry recoge logs y eventos de ordenadores, servidores y firewalls y, en las páginas del SOC dedicadas a las identidades, muestra accesos privilegiados, accesos nocturnos y cambios en las cuentas. ARX Shield aísla de la red con un clic una máquina sospechosa, y ARX Expose señala servicios expuestos, cuentas de la empresa implicadas en brechas y dominios parecidos al tuyo, útiles para el phishing contra los clientes. ARX Trace recoge las pruebas para reconstruir qué ha pasado.

Última actualización: 14 de octubre de 2026