TFG London: cyberattacco a Hobbs, Whistles e Phase Eight

TFG London, la divisione britannica del gruppo sudafricano The Foschini Group (TFG), ha subito un attacco informatico che ha messo fuori uso diversi sistemi IT di tre marchi di moda: Phase Eight, Hobbs e Whistles. Lo riportano The Register, The Record, BleepingComputer e Help Net Security, che citano il comunicato dell’azienda del 13 ottobre 2026.

Cosa è successo

L’azienda ha rilevato l’incidente domenica 11 ottobre 2026 e lo ha reso noto martedì 13 con un comunicato agli investitori, pubblicato secondo The Record attraverso il servizio di notizie della Borsa di Johannesburg. Le fonti concordano su questi punti:

• i negozi restano aperti, ma diversi sistemi IT sono ancora non disponibili e alcune funzioni dei siti dei marchi potrebbero non funzionare;
• TFG London ha attivato i piani di risposta agli incidenti e di continuità operativa, ha chiamato specialisti esterni di sicurezza per contenere l’attacco e ha informato le autorità britanniche competenti;
• l’indagine deve ancora stabilire se siano stati compromessi dati personali o altre informazioni sensibili; l’azienda avviserà persone e organizzazioni coinvolte se emergerà una violazione.

The Register riporta che l’ICO, il garante britannico per la protezione dei dati, ha confermato di aver ricevuto una segnalazione di violazione da TFG Brands (London) Limited e di stare valutando le informazioni.

Ai clienti TFG London ha scritto che gli ordini fatti da domenica in poi potrebbero subire ritardi (email vista dal Telegraph, secondo The Register) e, secondo The Record, ha chiesto di non ripetere gli ordini. I pagamenti sono gestiti da un fornitore esterno e, a indagine in corso, l’azienda non ha motivo di ritenere che i dati di pagamento siano a rischio. Solo The Record riporta che per ora i clienti non devono cambiare la password dell’account.

Perimetro dell’incidente

L’attacco riguarda solo i tre marchi. Gli altri due marchi di TFG London, White Stuff e Inside Story, non sono stati colpiti, così come le attività di TFG Africa e TFG Australia, che usano sistemi IT separati.

Secondo BleepingComputer, a metà 2026 TFG London contava 649 punti vendita e 488 milioni di sterline di vendite annue. Il gruppo, con sede a Città del Capo, conta secondo The Record quasi 5.000 negozi in 18 paesi e circa 40 marchi.

The Record ricorda anche che già nel 2026 le vendite online del gruppo erano state colpite da un incidente informatico di «un importante partner di concessione online», indicato nei risultati di giugno tra le cause di un calo degli utili della divisione londinese di oltre il 65%. Non c’è alcun indizio di un collegamento con l’attacco attuale.

Cosa non si sa

Le informazioni tecniche pubbliche sono molto limitate:

• l’azienda non ha detto come gli attaccanti siano entrati né se sia stato usato un ransomware;
• non ci sono CVE, indicatori di compromissione o tecniche documentate;
• nessun gruppo ha rivendicato l’attacco: BleepingComputer non ha trovato rivendicazioni pubbliche e Help Net Security scrive che gli autori sono sconosciuti;
• non c’è una data per il ripristino completo dei sistemi; TFG London non ha risposto alle domande di The Register.

Per questo non è possibile descrivere la catena d’attacco né mappare l’episodio su tecniche MITRE ATT&CK senza fare ipotesi.

Il contesto: la moda nel mirino

L’attacco arriva in un periodo difficile per i rivenditori di moda. Pochi giorni prima ASOS ha confermato che un attaccante si era fatto consegnare le credenziali di un dipendente impersonando un contatto fidato, ed era entrato in piattaforme di terzi con i dati dei clienti (ne abbiamo scritto in questo articolo). H&M sta verificando le affermazioni di chi dice di far parte di ShinyHunters, ma secondo l’azienda finora non ci sono indizi di compromissione. The Record cita anche gli incidenti di Levi Strauss e De Bijenkorf ad agosto e, nel 2025, quelli di Marks & Spencer, Harrods, Louis Vuitton, Mango e Co-op.

Come sottolinea The Register, nessuna prova collega l’attacco a TFG London con quelli ad ASOS e H&M.

Impatto per le aziende europee e italiane

Due elementi del caso sono utili per chi gestisce la sicurezza nel retail.

Il primo è la separazione dei sistemi: i marchi e le aree geografiche con un’infrastruttura IT separata sono rimasti operativi. Il secondo è la continuità del punto vendita: i negozi hanno continuato a vendere mentre diversi sistemi erano fermi e, con i pagamenti affidati a un fornitore esterno, l’azienda per ora non ha motivo di ritenere a rischio i dati di pagamento.

Per il GDPR, il dubbio su una possibile esposizione di dati dei clienti va valutato per la notifica all’autorità di controllo entro 72 ore, come ha fatto TFG London con l’ICO; in Italia il destinatario è il Garante. Il commercio di abbigliamento di regola non rientra tra i settori NIS2 (in Italia il d.lgs. 138/2024), mentre i marketplace online sono tra i fornitori digitali previsti dalla direttiva.

Cosa fare subito

1. Separa gli ambienti: marchi, paesi e canali di vendita con domini di identità, reti e accessi amministrativi distinti, in modo che un’intrusione non si estenda a tutto il gruppo.
2. Prova la continuità dei negozi: casse e pagamenti che funzionano anche con i sistemi centrali fermi, procedure manuali per ordini e resi, comunicazioni ai clienti già pronte.
3. Proteggi le credenziali e l’helpdesk: autenticazione resistente al phishing per gli account privilegiati e per le piattaforme SaaS dei clienti, verifica dell’identità con un canale indipendente prima di reimpostare password o MFA.
4. Controlla i fornitori: concessionarie online, piattaforme di e-commerce, logistica e marketing, con accessi limitati e registri degli accessi.
5. Sorveglia gli accessi anomali: nuovi amministratori, accessi fuori orario, esportazioni di dati, disattivazione degli antivirus.
6. Avvisa i clienti: dopo un incidente come questo, come consiglia BleepingComputer, i clienti dei marchi coinvolti devono aspettarsi tentativi di phishing e ingegneria sociale a nome dell’azienda.

Come aiuta ARXDOME

ARX Sentry raccoglie log ed eventi di computer, server e firewall e, nelle pagine del SOC dedicate alle identità, mostra accessi privilegiati, accessi notturni e modifiche agli account. ARX Shield isola dalla rete con un clic una macchina sospetta, e ARX Expose segnala servizi esposti, account aziendali coinvolti in violazioni e domini simili al tuo, utili per il phishing contro i clienti. ARX Trace raccoglie le prove per ricostruire che cosa è successo.

Ultimo aggiornamento: 14 ottobre 2026