Blue Yonder : le ransomware chez le fournisseur qui a arrêté les entrepôts de la distribution

Archives : reconstitution rédigée en novembre 2026

Thème du mois de novembre 2024 · par cybercoverinsurance

Le 21 novembre 2024, Blue Yonder, l'un des principaux éditeurs de logiciels de supply chain, a subi une attaque par ransomware sur son environnement de services gérés. Dans les jours suivants, Starbucks a dû payer à la main le personnel de milliers de magasins, Morrisons a perdu son système de gestion des entrepôts de produits frais et Sainsbury's a activé des procédures d'urgence. Aucun de ces clients n'avait été compromis.

Le cas survient quelques mois après Change Healthcare et CDK Global, et confirme le schéma de 2024. Le dommage le plus large d'un ransomware ne se situe pas dans l'entreprise attaquée, mais chez les clients qui dépendent de ses services hébergés. Pour qui porte le risque cyber, Blue Yonder est un test de la garantie de carence de fournisseur et du cumul dans la distribution, à une période de l'année où chaque jour d'arrêt pèse davantage.

Ce que l'on sait

L'attaque. Blue Yonder a indiqué le 21 novembre 2024 que son environnement de services gérés hébergés subissait des perturbations, attribuées ensuite à un ransomware (CyberScoop). L'entreprise, basée en Arizona et détenue par Panasonic, compte plus de 3 000 clients parmi les industriels, les distributeurs et les logisticiens (BleepingComputer). Son environnement sur le cloud public Azure n'a pas été touché (Cybersecurity Dive).

Les clients touchés. Starbucks a fait état d'un impact sur environ 11 000 magasins en Amérique du Nord, dans la gestion des plannings et de la paie du personnel, sans effet sur le service aux clients. Morrisons a perdu ses systèmes d'entrepôt pour les produits frais et les fruits et légumes, l'épicerie et le surgelé n'étant pas touchés, et a travaillé avec des systèmes de secours. Sainsbury's a activé des procédures d'urgence pour garantir l'approvisionnement. Tesco et DHL ont déclaré ne pas être touchés (ITPro). BIC a signalé des retards d'expédition (BleepingComputer).

La reprise. Le 1er décembre, Blue Yonder a indiqué que plusieurs clients étaient de nouveau opérationnels (Cybersecurity Dive). Le 6 décembre, Morrisons a déclaré avoir retrouvé un fonctionnement normal et que son propre réseau n'avait pas été compromis (Cybersecurity Dive). Blue Yonder n'a pas communiqué le nombre de clients touchés.

La revendication. Le groupe Termite, apparu à la mi-octobre 2024, a revendiqué l'attaque et affirmé avoir dérobé 680 Go de données, dont plus de 16 000 adresses e-mail et plus de 200 000 documents. Termite utilise une version du code de Babuk, rendu public en 2021. Blue Yonder a dit enquêter sur la revendication (BleepingComputer). En janvier 2025, le groupe Clop a inscrit Blue Yonder sur une liste d'environ 60 entreprises attaquées via des vulnérabilités du logiciel de transfert de fichiers Cleo. Blue Yonder a confirmé utiliser Cleo et a dit enquêter. Aucun lien avec l'attaque de novembre n'est établi (Cybersecurity Dive).

Ce que l'on ne sait pas. Le vecteur d'accès, un éventuel paiement de rançon et le coût pour Blue Yonder et ses clients n'ont pas été rendus publics.

Le dommage est chez les clients

Aucun client compromis, beaucoup à l'arrêt. Morrisons a déclaré que son réseau n'avait pas été touché. Le dommage est venu du service hébergé dont dépendaient ses entrepôts. C'est le même schéma que Change Healthcare dans la santé et CDK Global chez les concessionnaires automobiles : un fournisseur de logiciel en tant que service devient le point de rupture de tout un secteur.

L'arrêt est tombé au pire moment. L'attaque a eu lieu quelques jours avant le Thanksgiving américain et au début de la saison de Noël au Royaume-Uni (Cybersecurity Dive). Pour un distributeur de produits frais, même quelques jours de gestion manuelle des entrepôts peuvent se traduire par des marchandises périmées, des rayons vides et des ventes perdues.

Les coûts des clients sont surtout des frais supplémentaires. Paie calculée à la main, personnel supplémentaire en entrepôt, systèmes de secours. Ce sont des coûts réels, souvent plus faciles à justifier que la marge perdue, mais que beaucoup de polices ne couvrent que dans des sous-limites.

Quelle garantie répond

La carence de fournisseur est la garantie clé. Les clients de Blue Yonder ne peuvent mobiliser que la garantie pertes d'exploitation pour carence de fournisseur, s'ils l'ont souscrite. Beaucoup de polices la limitent aux prestataires informatiques, et Blue Yonder entre dans cette définition, mais avec des sous-limites souvent très inférieures à la limite principale.

La franchise en temps décide du sinistre. Une franchise de 8, 12 ou 24 heures, courante dans les polices cyber, compte peu face à un arrêt de deux semaines. Mais les clients redevenus opérationnels en quelques jours grâce à leurs systèmes de secours peuvent rester sous le seuil ou juste au-dessus. Le coût réel reste alors à la charge de l'assuré.

La perte de marchandises périssables est une zone grise. Des produits frais jetés à cause d'une erreur d'entrepôt provoquée par une cyberattaque : dommage matériel ou perte d'exploitation ? La police cyber exclut en général les dommages aux biens, et la police dommages exclut souvent les événements cyber. C'est un point à clarifier dans les conditions de la distribution alimentaire.

Le vol de données chez le fournisseur ouvre un second volet. Si les données dérobées par Termite contiennent des informations sur les clients de Blue Yonder, ceux-ci peuvent avoir leurs propres obligations de notification. C'est un coût né de l'incident d'un autre, que la police du client doit couvrir comme une violation chez un tiers.

Cumul dans la distribution

Plus de 3 000 clients, un seul environnement. Blue Yonder sert des industriels, des enseignes de distribution et des logisticiens. Un assureur avec un large portefeuille dans la distribution peut avoir des dizaines d'assurés qui dépendent du même service. Un seul événement produit des sinistres de carence corrélés, sur la même période et dans la même zone.

La concentration n'est connue que de ceux qui la demandent. Les clients de Blue Yonder ne figuraient pas sur une liste publique. Seuls certains clients touchés se sont exprimés. Sans question précise dans le questionnaire de souscription, l'assureur découvre la dépendance au moment du sinistre.

2024 a montré une série, pas un cas isolé. Change Healthcare en février, CDK Global en juin (TechTarget), Blue Yonder en novembre. À chaque fois, un fournisseur de logiciel hébergé pour un secteur précis a arrêté des milliers de clients. Pour un portefeuille, ces fournisseurs verticaux forment un cumul distinct de celui des grands clouds, et souvent moins cartographié.

Ce qu'il faut apporter aux renouvellements

Impact pour les assureursÉlevé

Un seul éditeur de logiciels de supply chain a arrêté des processus critiques chez plusieurs enseignes en même temps, en pleine haute saison.

Côté portefeuille, le travail utile est une liste des éditeurs verticaux utilisés par les assurés de chaque secteur : supply chain pour la distribution, logiciels de gestion pour les concessionnaires, intermédiaires de paiement pour la santé. Chacun est un événement possible avec de nombreux sinistres simultanés, à traiter comme un scénario de sinistre à part entière.

Sources

• CyberScoop – revendication de Termite et clients touchés
• BleepingComputer – données revendiquées et profil de Blue Yonder
• ITPro – impact sur Starbucks, Morrisons et Sainsbury's
• Cybersecurity Dive – avancement de la reprise
• Cybersecurity Dive – Morrisons revient à la normale
• TechTarget – Change Healthcare, CDK Global et carence de fournisseur
• Cybersecurity Dive – revendication de Clop via Cleo