TFG London: atac cibernetic la Hobbs, Whistles și Phase Eight

TFG London, divizia britanică a grupului sud-african The Foschini Group (TFG), a suferit un atac cibernetic care a scos din funcțiune mai multe sisteme IT ale a trei mărci de modă: Phase Eight, Hobbs și Whistles. Au relatat despre el The Register, The Record, BleepingComputer și Help Net Security, care citează comunicatul companiei din 13 octombrie 2026.

Ce s-a întâmplat

Compania a detectat incidentul duminică, 11 octombrie 2026, și l-a anunțat marți, 13 octombrie, printr-un comunicat pentru investitori, publicat, potrivit The Record, prin serviciul de știri al Bursei din Johannesburg. Sursele sunt de acord asupra acestor puncte:

• magazinele rămân deschise, dar mai multe sisteme IT sunt încă indisponibile, iar unele funcții ale site-urilor mărcilor s-ar putea să nu funcționeze;
• TFG London a activat planurile de răspuns la incidente și de continuitate a activității, a chemat specialiști externi în securitate pentru a limita atacul și a informat autoritățile britanice competente;
• ancheta trebuie încă să stabilească dacă au fost compromise date personale sau alte informații sensibile; compania va anunța persoanele și organizațiile afectate dacă se confirmă o încălcare.

The Register relatează că ICO, autoritatea britanică pentru protecția datelor, a confirmat că a primit o notificare de încălcare a securității datelor de la TFG Brands (London) Limited și că analizează informațiile.

TFG London le-a scris clienților că comenzile plasate începând de duminică ar putea fi întârziate (un email văzut de The Telegraph, potrivit The Register) și, potrivit The Record, le-a cerut să nu repete comenzile. Plățile sunt gestionate de un furnizor extern și, cu ancheta încă în desfășurare, compania nu are motive să creadă că datele de plată sunt în pericol. Doar The Record relatează că, deocamdată, clienții nu trebuie să își schimbe parola contului.

Perimetrul incidentului

Atacul afectează doar cele trei mărci. Celelalte două mărci ale TFG London, White Stuff și Inside Story, nu au fost lovite, la fel ca activitățile TFG Africa și TFG Australia, care folosesc sisteme IT separate.

Potrivit BleepingComputer, la mijlocul lui 2026 TFG London avea 649 de puncte de vânzare și vânzări anuale de 488 de milioane de lire sterline. Grupul, cu sediul la Cape Town, are, potrivit The Record, aproape 5.000 de magazine în 18 țări și circa 40 de mărci.

The Record amintește și că, deja în 2026, vânzările online ale grupului fuseseră afectate de un incident cibernetic la „un partener important de concesiune online”, menționat în rezultatele din iunie printre cauzele unei scăderi de peste 65% a profitului diviziei londoneze. Nu există niciun indiciu de legătură cu atacul actual.

Ce nu se știe

Informațiile tehnice publice sunt foarte limitate:

• compania nu a spus cum au intrat atacatorii și nici dacă a fost folosit un ransomware;
• nu există CVE-uri, indicatori de compromitere sau tehnici documentate;
• niciun grup nu a revendicat atacul: BleepingComputer nu a găsit revendicări publice, iar Help Net Security scrie că autorii sunt necunoscuți;
• nu există o dată pentru restabilirea completă a sistemelor; TFG London nu a răspuns la întrebările The Register.

De aceea nu se poate descrie lanțul de atac și nici nu se poate asocia incidentul cu tehnici MITRE ATT&CK fără a face presupuneri.

Contextul: moda în vizor

Atacul vine într-o perioadă dificilă pentru comercianții de modă. Cu câteva zile înainte, ASOS a confirmat că un atacator obținuse credențialele unui angajat dându-se drept un contact de încredere și intrase pe platforme terțe cu date ale clienților (am scris despre asta în acest articol). H&M verifică afirmațiile cuiva care spune că face parte din ShinyHunters, dar, potrivit companiei, până acum nu există indicii de compromitere. The Record menționează și incidentele de la Levi Strauss și De Bijenkorf din august și, în 2025, pe cele de la Marks & Spencer, Harrods, Louis Vuitton, Mango și Co-op.

Așa cum subliniază The Register, nicio dovadă nu leagă atacul asupra TFG London de cele asupra ASOS și H&M.

Impactul pentru companiile europene și italiene

Două elemente ale cazului sunt utile pentru cine gestionează securitatea în retail.

Primul este separarea sistemelor: mărcile și regiunile cu infrastructură IT separată au rămas funcționale. Al doilea este continuitatea magazinelor: acestea au continuat să vândă în timp ce mai multe sisteme erau căzute și, cu plățile încredințate unui furnizor extern, compania nu are deocamdată motive să creadă că datele de plată sunt în pericol.

Potrivit GDPR, suspiciunea unei posibile expuneri a datelor clienților trebuie evaluată în vederea notificării autorității de supraveghere în 72 de ore, așa cum a făcut TFG London cu ICO; în Italia autoritatea este Garante. Comerțul cu îmbrăcăminte nu se numără de regulă printre sectoarele NIS2 (în Italia, Decretul legislativ 138/2024), în timp ce piețele online (marketplace-urile) sunt printre furnizorii digitali prevăzuți de directivă.

Ce să faci imediat

1. Separă mediile: mărci, țări și canale de vânzare cu domenii de identitate, rețele și acces administrativ distincte, astfel încât o intruziune să nu se extindă la tot grupul.
2. Testează continuitatea magazinelor: case de marcat și plăți care funcționează și cu sistemele centrale căzute, proceduri manuale pentru comenzi și retururi, comunicări către clienți pregătite din timp.
3. Protejează credențialele și helpdeskul: autentificare rezistentă la phishing pentru conturile privilegiate și pentru platformele SaaS dedicate clienților, verificarea identității printr-un canal independent înainte de resetarea parolelor sau a MFA.
4. Verifică furnizorii: concesiuni online, platforme de comerț electronic, logistică și marketing, cu acces limitat și jurnale de acces.
5. Urmărește accesările anormale: administratori noi, autentificări în afara programului, exporturi de date, dezactivarea antivirusului.
6. Avertizează clienții: după un astfel de incident, așa cum recomandă BleepingComputer, clienții mărcilor afectate trebuie să se aștepte la tentative de phishing și inginerie socială în numele companiei.

Cum ajută ARXDOME

ARX Sentry colectează loguri și evenimente de pe computere, servere și firewalluri și, în paginile SOC dedicate identităților, arată autentificările privilegiate, autentificările de noapte și modificările conturilor. ARX Shield izolează din rețea, cu un clic, o mașină suspectă, iar ARX Expose semnalează serviciile expuse, conturile companiei implicate în breșe și domeniile asemănătoare cu al tău, care pot fi folosite pentru phishing împotriva clienților. ARX Trace colectează dovezile pentru a reconstitui ce s-a întâmplat.

Ultima actualizare: 14 octombrie 2026