ATTACCHI · RANSOMWARE CON FERMO OPERATIVO
Ingram Micro, luglio 2025: sei giorni di fermo per il distributore e per i suoi clienti
Il 3 luglio 2025 un ransomware ha fermato il sito e le piattaforme di ordine e di attivazione delle licenze di Ingram Micro, uno dei maggiori distributori di tecnologia. Il 9 luglio l'azienda era di nuovo operativa; migliaia di rivenditori e fornitori di servizi gestiti sono rimasti senza ordini per giorni.
- Vittima
- Ingram Micro
- Settore
- Distribuzione di tecnologia
- Paese
- Più paesi
- Data
- 3 luglio 2025
- Categoria
- Ransomware con fermo operativo
- Causa
- Credenziali rubate o MFA assente
- Attore
- Criminale (rivendicato). Nota di riscatto del gruppo SafePay, che ha poi inserito Ingram nel proprio sito
- Scenari di danno
- Business interruption propria · Business interruption dipendente · Ripristino di dati e sistemi · Notifica e responsabilità privacy
Le cause in breve
- Accesso iniziale. Secondo fonti di BleepingComputer, dalla VPN GlobalProtect, probabilmente con credenziali compromesse; Palo Alto Networks esclude una vulnerabilità dei propri prodotti (BleepingComputer).
- Estensione. Fermi il sito, la piattaforma Xvantage e la piattaforma Impulse per le licenze; accesso ad alcuni archivi di file interni il 2 e 3 luglio.
- Controllo mancato. MFA su tutti gli accessi VPN, compresi gli account di servizio.
L'impatto
- Circa sei giorni di fermo: operativa in tutti i paesi dal 9 luglio 2025 (The Register).
- SafePay ha minacciato di pubblicare 3,5 TB di dati.
- 42.521 persone notificate, con documenti e numeri di previdenza sociale (TechInformed).
- Costi, riscatto e numero di clienti senza servizio: non noti.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine, assistenza legale e comunicazione rispondono.
- Ripristino di dati e sistemiRispondeLa ricostruzione delle piattaforme cifrate rientra nel ripristino.
- Business interruption propriaRispondeSei giorni di fermo superano i periodi di attesa abituali; l'effetto sul trimestre era ancora da quantificare, attenuato dalla festività.
- Business interruption dipendente (fornitore)Dipende dal wordingPer i rivenditori risponde solo se la garanzia include distributori e piattaforme di licenze, non solo i fornitori di servizi informatici, e se il fermo supera il periodo di attesa.
- EstorsioneDipende dal wordingRisponde solo per un riscatto pagato con il consenso dell'assicuratore; non è noto se ci sia stato un pagamento.
- Notifica e responsabilità privacyRispondeLe notifiche a 42.521 persone attivano costi di notifica e assistenza.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRispondeRisponde a eventuali richieste delle persone i cui dati sono stati sottratti.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Definizione di fornitore. Un distributore può non rientrare tra i fornitori coperti dalla business interruption dipendente.
- Periodo di attesa. Un fermo di 3-7 giorni si avvicina alle franchigie temporali più lunghe.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Il ransomware su un grande distributore di tecnologia ha fermato per circa sei giorni ordini e licenze per migliaia di clienti, con danni da dipendenza diffusi ma brevi.
Segnale di cumulo per il portafoglio.
Cumulo nel canale IT: molti rivenditori e fornitori di servizi gestiti dipendono dagli stessi pochi grandi distributori.