Blue Yonder: el ransomware al proveedor que paró los almacenes del retail

El 21 de noviembre de 2024 un ransomware golpeó el entorno gestionado de Blue Yonder y paró las nóminas de Starbucks y los almacenes de frescos de Morrisons. El análisis: interrupción por dependencia, mercancía perecedera, cúmulo en el retail y preguntas para las renovaciones.

Archivo: reconstrucción escrita en noviembre de 2026

Tema del mes de noviembre de 2024 · por cybercoverinsurance

El 21 de noviembre de 2024 Blue Yonder, uno de los mayores proveedores de software para la supply chain, sufrió un ataque de ransomware en su entorno de servicios gestionados. En los días siguientes Starbucks tuvo que pagar a mano al personal de miles de tiendas, Morrisons perdió el sistema de gestión de almacenes de productos frescos y Sainsbury's activó procedimientos de emergencia. Ninguno de los clientes había sido vulnerado.

El caso llega pocos meses después de Change Healthcare y CDK Global, y confirma el patrón de 2024. El daño más amplio de un ransomware no está en la empresa atacada, sino en los clientes que dependen de sus servicios alojados. Para quien asume el riesgo cyber, Blue Yonder es una prueba de la garantía de interrupción por dependencia y del cúmulo en el retail, en una época del año en que cada día de parada pesa más.

Lo que se sabe

El ataque. Blue Yonder comunicó el 21 de noviembre de 2024 que su entorno de servicios gestionados alojados había sufrido interrupciones, atribuidas después a un ransomware (CyberScoop). La empresa, con sede en Arizona y propiedad de Panasonic, tiene más de 3.000 clientes entre fabricantes, distribuidores y operadores logísticos (BleepingComputer). Su entorno en la nube pública Azure no se vio afectado (Cybersecurity Dive).

Los clientes afectados. Starbucks indicó un impacto en unas 11.000 tiendas de Norteamérica, en la gestión de horarios y nóminas del personal, sin efectos en el servicio a los clientes. Morrisons perdió los sistemas de almacén de frescos y fruta y verdura, mientras que seco y congelado no se vieron afectados, y trabajó con sistemas de reserva. Sainsbury's activó procedimientos de emergencia para garantizar el suministro. Tesco y DHL declararon no haber sido afectadas (ITPro). BIC informó de retrasos en los envíos (BleepingComputer).

La recuperación. El 1 de diciembre Blue Yonder comunicó que varios clientes habían vuelto a operar (Cybersecurity Dive). El 6 de diciembre Morrisons declaró haber restablecido las operaciones normales y que su propia red no había sido vulnerada (Cybersecurity Dive). Blue Yonder no ha revelado el número de clientes afectados.

La reivindicación. El grupo Termite, aparecido a mediados de octubre de 2024, reivindicó el ataque y afirmó haber sustraído 680 GB de datos, entre ellos más de 16.000 direcciones de correo y más de 200.000 documentos. Termite usa una versión del código de Babuk, difundido públicamente en 2021. Blue Yonder dijo que investigaba la reivindicación (BleepingComputer). En enero de 2025 el grupo Clop incluyó a Blue Yonder en una lista de unas 60 empresas atacadas a través de vulnerabilidades del software de transferencia de archivos Cleo. Blue Yonder confirmó que usa Cleo y dijo que investigaba. No consta un vínculo con el ataque de noviembre (Cybersecurity Dive).

Lo que no se sabe. El vector de acceso, el posible pago de un rescate y el coste para Blue Yonder y sus clientes no se han hecho públicos.

El daño está en los clientes

Ningún cliente fue vulnerado, muchos se pararon. Morrisons declaró que su red no había sido tocada. El daño llegó del servicio alojado del que dependían sus almacenes. Es el mismo patrón de Change Healthcare en la sanidad y de CDK Global en los concesionarios de automóviles: un proveedor de software como servicio se convierte en el punto de ruptura de todo un sector.

La parada llegó en el peor momento. El ataque se produjo pocos días antes del Thanksgiving estadounidense y al inicio de la temporada navideña en el Reino Unido (Cybersecurity Dive). Para un distribuidor de productos frescos, incluso pocos días de gestión manual de almacenes pueden traducirse en mercancía caducada, estanterías vacías y ventas perdidas.

Los costes de los clientes son sobre todo extraordinarios. Nóminas calculadas a mano, personal extra en los almacenes, sistemas de reserva. Son costes reales, a menudo más fáciles de documentar que la pérdida de margen, pero que muchas pólizas solo cubren dentro de sublímites.

Qué garantía responde

La interrupción por dependencia es la garantía clave. Los clientes de Blue Yonder solo pueden activar la garantía de business interruption por dependencia, si la contrataron. Muchas pólizas la limitan a proveedores de TI, y Blue Yonder encaja en esa definición, pero con sublímites a menudo muy inferiores al límite principal.

La franquicia temporal decide el siniestro. Una franquicia de 8, 12 o 24 horas, habitual en las pólizas cyber, pesa poco ante una parada de dos semanas. Pero los clientes que volvieron a operar en pocos días gracias a los sistemas de reserva pueden quedar por debajo del umbral o apenas por encima. En ese caso el coste real queda a cargo del asegurado.

La pérdida de mercancía perecedera es una zona gris. Productos frescos tirados por un error de almacén causado por un ataque informático: ¿daño material o pérdida por interrupción? La póliza cyber suele excluir los daños a bienes materiales, y la póliza de daños excluye a menudo los eventos cyber. Es una zona que conviene aclarar en los condicionados del retail alimentario.

El robo de datos del proveedor abre una segunda vía. Si los datos sustraídos por Termite incluyen información de los clientes de Blue Yonder, esos clientes pueden tener obligaciones de notificación propias. Es un coste que nace de un incidente ajeno y que la póliza del cliente debe cubrir como violación en un tercero.

Cúmulo en el retail

Más de 3.000 clientes, un solo entorno. Blue Yonder presta servicio a fabricantes, cadenas de distribución y operadores logísticos. Un asegurador con una cartera de retail amplia puede tener decenas de asegurados que dependen del mismo servicio. Un solo evento genera siniestros correlacionados de interrupción por dependencia, en el mismo periodo y en la misma zona.

La concentración solo la conoce quien pregunta. Los clientes de Blue Yonder no eran una lista pública. Solo hablaron algunos de los clientes afectados. Sin una pregunta específica en el cuestionario de suscripción, el asegurador descubre la dependencia en el momento del siniestro.

2024 mostró una serie, no un caso aislado. Change Healthcare en febrero, CDK Global en junio (TechTarget), Blue Yonder en noviembre. En cada caso un proveedor de software alojado para un sector concreto paró a miles de clientes. Para una cartera, estos proveedores verticales son un cúmulo distinto del de los grandes cloud, y a menudo menos mapeado.

Qué llevar a las renovaciones

Impacto para las aseguradorasAlto

Un solo proveedor de software para la supply chain paró procesos críticos en varias cadenas de distribución al mismo tiempo, en plena temporada alta.

En el lado de la cartera, el trabajo útil es una lista de los proveedores de software verticales usados por los asegurados de cada sector: supply chain para el retail, software de gestión para concesionarios, intermediarios de pago para la sanidad. Cada uno es un posible evento con muchos siniestros a la vez, y debe tratarse como un escenario de daño propio.