ANALYSES
Ingram Micro : six jours d'arrêt pour un distributeur et ses clients
Le 3 juillet 2025, un ransomware a arrêté pendant environ six jours les commandes et l'activation des licences d'Ingram Micro, l'un des plus grands distributeurs de technologie. L'analyse : carence de fournisseur pour revendeurs et prestataires de services gérés, délais d'attente, cumul dans le canal informatique et questions pour les renouvellements.
Archives : reconstitution rédigée en novembre 2026
Thème du mois de juillet 2025 · par cybercoverinsurance
Le 3 juillet 2025, au début du week-end férié de la fête de l'Indépendance aux États-Unis, un ransomware a frappé Ingram Micro, l'un des plus grands distributeurs mondiaux de technologie pour les entreprises. Le site et les plateformes de commande et d'activation des licences se sont arrêtés pendant plusieurs jours. Le 9 juillet, l'entreprise s'est déclarée de nouveau opérationnelle dans tous les pays. Des mois plus tard, elle a notifié à plus de 42 000 personnes le vol de données personnelles.
Le cas est utile pour qui porte le risque cyber pour ce qui n'apparaît pas dans les comptes d'Ingram : les milliers de revendeurs, intégrateurs et prestataires de services gérés qui, pendant quelques jours, n'ont pu ni commander de matériel ni activer de licences. C'est un exemple de carence de fournisseur, brève et diffuse, et de la manière dont les conditions de la police décident si elle devient un sinistre.
Ce que l'on sait
L'attaque. Selon BleepingComputer, l'attaque a commencé le jeudi 3 juillet. Le site et les systèmes de commande en ligne ont été coupés, ainsi que la plateforme de distribution Xvantage et la plateforme Impulse d'activation des licences. Une note de rançon du groupe SafePay a été trouvée sur des appareils de l'entreprise. Des sources estiment que les attaquants sont entrés par le VPN GlobalProtect, probablement avec des identifiants compromis. Palo Alto Networks a déclaré qu'aucun de ses produits n'était à l'origine de la vulnérabilité (BleepingComputer).
La confirmation et le rétablissement. Ingram a d'abord parlé d'une « perturbation informatique » et n'a confirmé le ransomware que deux jours plus tard, sous la pression de partenaires et de journalistes (Channel Insider). Le 8 juillet, elle acceptait des commandes par téléphone et par courriel dans plusieurs pays. Le 9 juillet, elle s'est déclarée opérationnelle dans tous les pays et régions. Le 29 juillet, SafePay a inscrit Ingram sur son site de publication et menacé de diffuser 3,5 To de données (The Register).
Les comptes. Lors des résultats du deuxième trimestre, le PDG Paul Bay a déclaré que l'attaque n'avait pas pesé sur le trimestre clos en juin. Le directeur financier a évoqué un effet encore à chiffrer pour les jours sans transactions, atténué par la coïncidence avec le jour férié. Les prévisions du troisième trimestre intégraient une perte d'activité possible. Paul Bay a confirmé que certaines données avaient été exfiltrées (IT Channel Oxygen).
Les notifications. En janvier 2026 sont apparues les déclarations au procureur général du Maine : 42 521 personnes, avec noms, dates de naissance, numéros de sécurité sociale, passeports, permis de conduire et informations liées à l'emploi. Les attaquants avaient accédé à certains dépôts de fichiers internes les 2 et 3 juillet (TechInformed).
Ce que l'on ne sait pas. Ingram n'a publié ni les coûts de l'incident, ni d'éventuelles demandes ou paiements de rançon, ni le nombre de clients privés de service. Il n'existe pas de données publiques sur les pertes des revendeurs.
L'arrêt du distributeur est l'arrêt des clients
Six jours pour Ingram, six jours pour tous. Un distributeur se situe entre les fabricants et des milliers de revendeurs. Quand ses plateformes s'arrêtent, ceux qui vendent du matériel et des logiciels aux entreprises ne reçoivent pas de marchandise et n'activent pas de licences. Pour les clients d'Ingram, le dommage est une carence de fournisseur, sans aucune violation de leurs propres systèmes.
Les licences comptent autant que la marchandise. La plateforme Impulse sert à activer des abonnements logiciels. Pour un prestataire de services gérés, ne pas pouvoir activer ou renouveler des licences pour ses clients signifie des contrats de service non respectés. Le dommage peut devenir une responsabilité envers les clients finaux.
La franchise en temps décide. Les garanties de carence de fournisseur se déclenchent généralement après un délai d'attente exprimé en heures, et seulement pour les prestataires de services informatiques ou les fournisseurs désignés. Un distributeur de technologie n'entre pas toujours dans la définition de prestataire de services informatiques. Un arrêt de quelques jours peut rester sous le seuil pour de nombreux clients et le dépasser pour d'autres.
Un arrêt bref et diffus
Beaucoup de petits dommages, peu de sinistres. La plupart des revendeurs ont probablement perdu des ventes ou les ont simplement reportées. C'est le profil d'événement qui produit beaucoup de petits dommages, beaucoup de questions aux courtiers et peu de sinistres payés. Pour qui porte le risque, c'est malgré tout un test des définitions de la police : des définitions claires évitent des litiges sur des milliers de dossiers.
Le calendrier a aidé. Le directeur financier a attribué l'impact limité notamment au fait que l'attaque soit tombée un jour férié, en début de mois et de trimestre (IT Channel Oxygen). Le même arrêt en fin de trimestre, quand les revendeurs bouclent leurs commandes, aurait pesé davantage.
Le cumul est dans la chaîne de distribution. Quelques grands distributeurs servent une grande partie du marché informatique. Un portefeuille de petites entreprises technologiques, de revendeurs et de prestataires de services gérés dépend souvent des deux ou trois mêmes distributeurs. La donnée est rarement collectée.
Le VPN et les données du personnel
Le VPN reste une porte d'entrée. Selon les sources, l'entrée est passée par un VPN avec des identifiants compromis. SafePay, selon BleepingComputer, est connu pour entrer par les VPN avec des identifiants volés ou des tentatives de mots de passe à grande échelle. L'authentification multifacteur sur l'accès à distance est le contrôle le plus demandé dans les questionnaires, et le cas confirme pourquoi.
Les données volées concernent surtout le personnel. Les informations notifiées comprennent des données liées à l'emploi et des pièces d'identité (TechInformed). Pour une entreprise qui vend à d'autres entreprises, la violation des données de salariés et de candidats est la partie qui génère des notifications, même si le dommage principal est l'interruption.
Ce qu'il faut apporter aux renouvellements
Impact pour les assureursMoyen
Un ransomware chez un grand distributeur de technologie a arrêté pendant environ six jours les commandes et l'activation des licences de milliers de clients, avec des dommages de carence diffus mais brefs.
Côté portefeuille, la question utile est de savoir combien d'assurés du canal informatique dépendent du même distributeur. Un arrêt d'une semaine au pire moment du trimestre, chez l'un des rares grands distributeurs, est un scénario de cumul simple à construire et utile pour vérifier les définitions de carence de fournisseur.