ATTACCHI · COMPROMISSIONE DI UN FORNITORE DI SERVIZI O SAAS
Blue Yonder, novembre 2024: il ransomware al fornitore ferma paghe e magazzini del retail
Il 21 novembre 2024 un ransomware ha colpito l'ambiente di servizi gestiti di Blue Yonder, fornitore di software per la supply chain. Starbucks ha dovuto gestire a mano le paghe di circa 11.000 negozi e Morrisons ha perso i magazzini dei freschi, senza che nessuno dei clienti fosse violato.
- Vittima
- Blue Yonder (gruppo Panasonic) e i suoi clienti
- Settore
- Software per la supply chain, grande distribuzione
- Paese
- Stati Uniti e Regno Unito
- Data
- 21 novembre 2024
- Categoria
- Compromissione di un fornitore di servizi o SaaS
- Causa
- Non nota
- Attore
- Criminale (rivendicato). Il gruppo Termite, che ha rivendicato l'attacco
- Scenari di danno
- Business interruption dipendente · Business interruption propria · Ripristino di dati e sistemi · Notifica e responsabilità privacy
Le cause in breve
- Accesso iniziale. Non è stato reso pubblico.
- Bersaglio. L'ambiente di servizi gestiti in hosting; quello su Azure non è stato colpito (Cybersecurity Dive).
- Rivendicazione. Termite dichiara di aver sottratto 680 GB di dati (BleepingComputer).
L'impatto
- Starbucks: orari e paghe di circa 11.000 negozi in Nord America gestiti a mano (ITPro).
- Morrisons: sistemi di magazzino per freschi e ortofrutta fermi, operazioni normali il 6 dicembre; la sua rete non era stata violata (Cybersecurity Dive).
- Sainsbury's ha attivato procedure di emergenza; BIC ha segnalato ritardi nelle spedizioni.
- Numero dei clienti colpiti, riscatto e costi: non noti.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine e gestione della crisi rispondono per Blue Yonder.
- Ripristino di dati e sistemiRispondeLa ricostruzione dell'ambiente gestito rientra nel ripristino.
- Business interruption propriaRispondePer Blue Yonder risponde la perdita da interruzione del proprio servizio.
- Business interruption dipendente (fornitore)Risponde con limitiPer i clienti risponde solo se acquistata: Blue Yonder è un fornitore IT e rientra di solito, ma con sottolimiti bassi; chi è ripartito in pochi giorni può restare sotto il periodo di attesa.
- EstorsioneDipende dal wordingRisponde solo per un riscatto pagato con il consenso dell'assicuratore; non è noto se sia stato pagato.
- Notifica e responsabilità privacyDipende dal wordingSe i dati rivendicati da Termite includono dati dei clienti, i clienti hanno obblighi di notifica propri, da coprire come violazione presso un terzo.
- Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingDipende da contratti e richieste dei clienti verso Blue Yonder, non pubblici.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Merce deperibile. I freschi buttati per un fermo informatico sono un'area grigia: la cyber esclude i danni materiali, la property spesso esclude gli eventi cyber.
- Periodo di attesa. Con 8, 12 o 24 ore di franchigia temporale, i fermi brevi restano a carico dei clienti.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Un singolo fornitore di software per la supply chain ha fermato processi critici in più catene della grande distribuzione nello stesso momento, in piena stagione di picco.
Segnale di cumulo per il portafoglio.
Cumulo nel retail: più di 3.000 clienti dipendono dallo stesso fornitore, e l'elenco non è pubblico (BleepingComputer).