ANÁLISIS
Ingram Micro: seis días de parada para un distribuidor y sus clientes
El 3 de julio de 2025 un ransomware paró durante unos seis días los pedidos y la activación de licencias de Ingram Micro, uno de los mayores distribuidores de tecnología. El análisis: interrupción por dependencia para revendedores y proveedores de servicios gestionados, periodos de espera, cúmulo en el canal TI y preguntas para las renovaciones.
Archivo: reconstrucción escrita en noviembre de 2026
Tema del mes de julio de 2025 · por cybercoverinsurance
El 3 de julio de 2025, al comienzo del fin de semana festivo del Día de la Independencia en Estados Unidos, un ransomware golpeó a Ingram Micro, uno de los mayores distribuidores mundiales de tecnología para empresas. La web y las plataformas de pedidos y de activación de licencias se pararon durante varios días. El 9 de julio la empresa declaró que volvía a estar operativa en todos los países. Meses después notificó a más de 42.000 personas el robo de datos personales.
El caso es útil para quien asume el riesgo cyber por lo que no aparece en las cuentas de Ingram: los miles de revendedores, integradores y proveedores de servicios gestionados que durante unos días no pudieron pedir hardware ni activar licencias. Es un ejemplo de interrupción por dependencia, breve y extendida, y de cómo las condiciones de la póliza deciden si se convierte en siniestro.
Lo que se sabe
El ataque. Según BleepingComputer, el ataque empezó el jueves 3 de julio. La web y los sistemas de pedidos online se desconectaron, junto con la plataforma de distribución Xvantage y la plataforma Impulse de activación de licencias. En dispositivos de la empresa apareció una nota de rescate del grupo SafePay. Las fuentes creen que los atacantes entraron por la VPN GlobalProtect, probablemente con credenciales comprometidas. Palo Alto Networks declaró que ninguno de sus productos era el origen de la vulnerabilidad (BleepingComputer).
La confirmación y la recuperación. Ingram habló primero de una «interrupción informática» y confirmó el ransomware solo dos días después, bajo la presión de socios y periodistas (Channel Insider). El 8 de julio aceptaba pedidos por teléfono y correo en varios países. El 9 de julio declaró estar operativa en todos los países y regiones. El 29 de julio SafePay incluyó a Ingram en su sitio de publicación y amenazó con difundir 3,5 TB de datos (The Register).
Las cuentas. En los resultados del segundo trimestre el CEO Paul Bay dijo que el ataque no había afectado al trimestre cerrado en junio. El director financiero habló de un efecto aún por cuantificar por los días sin transacciones, atenuado por coincidir con el festivo. Las previsiones del tercer trimestre tenían en cuenta una posible pérdida de negocio. Bay confirmó que se habían exfiltrado algunos datos (IT Channel Oxygen).
Las notificaciones. En enero de 2026 salieron a la luz las comunicaciones al fiscal general de Maine: 42.521 personas, con nombres, fechas de nacimiento, números de la Seguridad Social, pasaportes, permisos de conducir e información laboral. Los atacantes accedieron a algunos repositorios internos de archivos el 2 y 3 de julio (TechInformed).
Lo que no se sabe. Ingram no ha hecho públicos los costes del incidente, posibles peticiones o pagos de rescate ni el número de clientes que se quedaron sin servicio. No hay datos públicos sobre las pérdidas de los revendedores.
La parada del distribuidor es la parada de los clientes
Seis días para Ingram, seis días para todos. Un distribuidor está entre los fabricantes y miles de revendedores. Cuando sus plataformas se paran, quien vende hardware y software a empresas no recibe mercancía ni activa licencias. Para los clientes de Ingram el daño es una interrupción por dependencia, sin violación alguna de sus sistemas.
Las licencias cuentan tanto como la mercancía. La plataforma Impulse sirve para activar suscripciones de software. Para un proveedor de servicios gestionados, no poder activar o renovar licencias para sus clientes significa contratos de servicio incumplidos. El daño puede convertirse en responsabilidad frente a los clientes finales.
El periodo de carencia decide. Las garantías de interrupción por dependencia se activan normalmente tras un periodo de espera expresado en horas, y solo para proveedores de servicios informáticos o proveedores designados. Un distribuidor de tecnología no siempre entra en la definición de proveedor de servicios informáticos. Una parada de pocos días puede quedar por debajo del umbral para muchos clientes y por encima para otros.
Una parada breve y extendida
Muchos daños pequeños, pocos siniestros. La mayoría de los revendedores probablemente perdió ventas o solo las aplazó. Es el perfil de evento que produce muchos daños pequeños, muchas consultas a los corredores y pocos siniestros pagados. Para quien asume el riesgo, es en todo caso una prueba de las definiciones de la póliza: las claras evitan disputas en miles de expedientes.
El calendario ayudó. El director financiero atribuyó el impacto limitado también a que el ataque cayó en un festivo y al principio del mes y del trimestre (IT Channel Oxygen). La misma parada a final de trimestre, cuando los revendedores cierran pedidos, habría pesado más.
El cúmulo está en la cadena del canal. Pocos grandes distribuidores atienden gran parte del mercado TI. Una cartera de pequeñas empresas tecnológicas, revendedores y proveedores de servicios gestionados depende a menudo de los mismos dos o tres distribuidores. El dato rara vez se recoge.
La VPN y los datos del personal
La VPN sigue siendo una vía de entrada. Según las fuentes, la entrada pasó por una VPN con credenciales comprometidas. SafePay, según BleepingComputer, es conocido por entrar por VPN con credenciales robadas o con intentos masivos de contraseñas. La autenticación multifactor en el acceso remoto es el control más pedido en los cuestionarios, y el caso confirma por qué.
Los datos robados son sobre todo del personal. La información notificada incluye datos laborales y documentos de identidad (TechInformed). Para una empresa que vende a otras empresas, la violación de datos de empleados y candidatos es la parte que genera notificaciones, aunque el daño principal sea la interrupción.
Qué llevar a las renovaciones
Impacto para las aseguradorasMedio
El ransomware en un gran distribuidor de tecnología paró durante unos seis días los pedidos y la activación de licencias de miles de clientes, con daños por dependencia extendidos pero breves.
En el lado de la cartera, la pregunta útil es cuántos asegurados del canal TI dependen del mismo distribuidor. Una parada de una semana en el peor momento del trimestre, en uno de los pocos grandes distribuidores, es un escenario de cúmulo sencillo de construir y útil para verificar las definiciones de interrupción por dependencia.