英國百年零售龍頭馬莎百貨（Marks & Spencer, M&S）近日爆出重大會員系統資安漏洞。據《曼徹斯特晚報》報導，部分忠誠會員（ Sparks 會員）在登入線上購物平台或開啟官方應用程式時，驚覺個資欄位竟顯示「被駭客入侵」（Hacked）的詭異字串，引發社群恐慌與媒體大幅報導。
M&S 雖未證實是否為外部駭客攻擊，但已緊急啟動內部調查，並坦承正與外部資安鑑識團隊合作修補漏洞。 事件曝光後，社群平台上「#MarksandSpencer」標籤迅速累積數千則投訴貼文，許多消費者反映曾收到不明來源的釣魚簡訊，質疑其與本次資料外洩有關。
M&S 為英國 FTSE 100 指數成分股之一，旗下擁有逾 1,500 家實體門市與龐大數位會員體系，其資安韌性直接攸關逾千萬名會員的個資保護與品牌商譽存亡。
本次事件本質上屬於企業資安防護失靈的技術性危機，並非典型意義上的政治或商業利益角力博弈，因此本節將聚焦於探討其背後的「零售業數位轉型痛點、消費者資料治理結構性缺陷，以及資安生態系的演進脈絡」。
回顧 M&S 的數位化歷程，該公司於 2014 年啟動「Plan A」永續與數位轉型計畫，並於 2018 年斥資逾 1 億英鎊與第三方科技巨擘合作重塑線上平台。然而，將核心會員系統與數位商務後端委外開發與代管的雙刃劍效應，恰恰是這類老牌零售商的結構性脆弱點。一旦 API 端點或前端介面遭到滲透測試疏漏，整個會員資料庫便可能淪為攻擊者的露天寶庫。
從產業演進脈絡來看，近年英國零售業已多次淪為資安攻擊的目標。2024 年底，知名連鎖超市 Co-op 便曾因供應鏈合作夥伴遭勒索軟體攻擊，導致內部員工個資與部分客戶付款紀錄外洩；更早之前，Harrods 與 JD Sports 亦相繼傳出資安事件。這些事件共同勾勒出一幅令人不安的圖像：傳統零售業的「防線縱深」正遭受前所未見的考驗，攻擊者的戰術已從單純的 DDoS 演進為精準的「身分冒充型社交工程」。
更深層的結構性成因在於：英國個資保護法（UK GDPR）雖對資料控制者施加嚴格義務，但許多零售商將資安投資視為「成本中心」而非「品牌護城河」的心態，導致漏洞修補與滲透測試的週期過長。當攻擊面（Attack Surface）因雲端化、第三方 API 與行動應用程式而呈指數級擴張時，傳統以邊界防護為主的資安典範，已明顯無法對抗當代以身分驗證與供應鏈信任為主的攻擊型態。
回顧 2017 年 Equifax 資料外洩（1.47 億人受影響）、2018 年 Marriott 個資門（5 億筆客戶資料外洩）等歷史重大資安事件，皆顯示零售與飯旅業的個資外洩往往會觸發長達一至三年的監管餘波與集體訴訟浪潮。對照本次 M&S 事件，未來可能的演進路徑可分為以下三種情境：
面對日益猖獗的零售業資安威脅，相關決策者應採取以下行動：
01 起因觸發：M&S 線上會員系統前端介面出現異常字串，疑似 API 端點遭未授權存取或注入攻擊
02 一階傳導：Sparks 會員恐慌性登出與密碼重設，客服中心話務量暴增三至五倍
03 二階擴散：英國資訊委員辦公室（ICO）啟動行政調查，TSB、Co-op 等同業被迫進行內部資安盤點
04 三階深化：金融詐騙集團利用外洩個資發動精準釣魚攻擊，簡訊與電子郵件詐騙量激增
05 宏觀終局：英國零售業強制性資安合規時代來臨，驅動產業全面邁向零信任架構與身分治理新典範
因果網路圖譜 3 節點
可拖曳節點 · 點兩下開啟文章
ACLED 地緣衝突與安全熱區監測
ELEVATED (灰色地帶高壓)監測熱區：台海與西太平洋第一島鏈 (Taiwan Strait & First Island Chain)（台灣海峽 · 巴士海峽 · 南海九段線）
📡 區域安全態勢評估： 海空聯合戰備警巡與海警常態化執法壓縮海峽中線默契，牽動全球 50% 貨櫃船隊通過之黃金水道風險溢價。