Blue Yonder: il ransomware al fornitore che ha fermato i magazzini del retail

Il 21 novembre 2024 un ransomware ha colpito l'ambiente gestito di Blue Yonder, fermando le paghe da Starbucks e i magazzini dei freschi da Morrisons. L'analisi: interruzione per dipendenza, merce deperibile, cumulo nel retail e domande per i rinnovi.

Archivio: ricostruzione scritta a novembre 2026

Tema del mese di novembre 2024 · di cybercoverinsurance

Il 21 novembre 2024 Blue Yonder, uno dei maggiori fornitori di software per la supply chain, ha subito un attacco ransomware al proprio ambiente di servizi gestiti. Nei giorni successivi Starbucks ha dovuto pagare a mano i dipendenti di migliaia di negozi, Morrisons ha perso il sistema di gestione dei magazzini dei prodotti freschi e Sainsbury's ha attivato procedure di emergenza. Nessuno dei clienti era stato violato.

Il caso arriva pochi mesi dopo Change Healthcare e CDK Global, e conferma lo schema del 2024. Il danno più ampio di un ransomware non è nell'azienda colpita, ma nei clienti che dipendono dai suoi servizi in hosting. Per chi assume il rischio cyber, Blue Yonder è un test sulla garanzia di interruzione per dipendenza e sul cumulo nel retail, in un periodo dell'anno in cui ogni giorno di fermo pesa di più.

Cosa si sa

L'attacco. Blue Yonder ha comunicato il 21 novembre 2024 che il suo ambiente di servizi gestiti in hosting aveva subito interruzioni, poi ricondotte a un ransomware (CyberScoop). L'azienda, con sede in Arizona e controllata da Panasonic, ha più di 3.000 clienti tra produttori, distributori e operatori logistici (BleepingComputer). Il suo ambiente sul cloud pubblico Azure non è stato colpito (Cybersecurity Dive).

I clienti colpiti. Starbucks ha indicato un impatto su circa 11.000 negozi in Nord America, nella gestione di orari e paghe del personale, senza effetti sul servizio ai clienti. Morrisons ha perso i sistemi di magazzino per freschi e ortofrutta, mentre secco e surgelati non sono stati toccati, e ha lavorato con sistemi di riserva. Sainsbury's ha attivato procedure di emergenza per garantire le forniture. Tesco e DHL hanno dichiarato di non essere state colpite (ITPro). BIC ha segnalato ritardi nelle spedizioni (BleepingComputer).

Il ripristino. Il 1° dicembre Blue Yonder ha comunicato che diversi clienti erano tornati operativi (Cybersecurity Dive). Il 6 dicembre Morrisons ha dichiarato di aver ripristinato le operazioni normali e che la propria rete non era stata violata (Cybersecurity Dive). Blue Yonder non ha reso noto il numero dei clienti colpiti.

La rivendicazione. Il gruppo Termite, comparso a metà ottobre 2024, ha rivendicato l'attacco e dichiarato di aver sottratto 680 GB di dati, tra cui oltre 16.000 indirizzi email e più di 200.000 documenti. Termite usa una versione del codice di Babuk, diffuso pubblicamente nel 2021. Blue Yonder ha detto di indagare sulla rivendicazione (BleepingComputer). A gennaio 2025 il gruppo Clop ha inserito Blue Yonder in un elenco di circa 60 aziende colpite attraverso vulnerabilità del software di trasferimento file Cleo. Blue Yonder ha confermato di usare Cleo e ha detto di indagare. Non risulta un collegamento con l'attacco di novembre (Cybersecurity Dive).

Cosa non è noto. Il vettore di accesso, l'eventuale pagamento di un riscatto e il costo per Blue Yonder e per i clienti non sono stati resi pubblici.

Il danno sta nei clienti

Nessun cliente è stato violato, molti si sono fermati. Morrisons ha dichiarato che la propria rete non era stata toccata. Il danno è arrivato dal servizio in hosting da cui dipendevano i suoi magazzini. È lo stesso schema di Change Healthcare per la sanità e di CDK Global per i concessionari d'auto: un fornitore di software in modalità servizio diventa il punto di rottura di un intero settore.

Il fermo è caduto nel momento peggiore. L'attacco è avvenuto pochi giorni prima del Thanksgiving statunitense e all'inizio della stagione natalizia nel Regno Unito (Cybersecurity Dive). Per un distributore di prodotti freschi, anche pochi giorni di gestione manuale dei magazzini possono tradursi in merce scaduta, scaffali vuoti e vendite perse.

I costi dei clienti sono soprattutto straordinari. Paghe calcolate a mano, personale extra nei magazzini, sistemi di riserva. Sono costi reali, spesso più facili da documentare della perdita di margine, ma che molte polizze coprono solo entro sottolimiti.

Quale garanzia risponde

L'interruzione per dipendenza è la garanzia chiave. I clienti di Blue Yonder possono attivare solo la garanzia di business interruption da dipendenza, se l'hanno acquistata. Molte polizze la limitano ai fornitori IT, e Blue Yonder rientra in questa definizione, ma con sottolimiti spesso molto più bassi del limite principale.

La franchigia temporale decide il sinistro. Una franchigia di 8, 12 o 24 ore, comune nelle polizze cyber, è poco rilevante per un fermo di due settimane. Ma i clienti tornati operativi in pochi giorni, grazie ai sistemi di riserva, possono restare sotto la soglia o poco sopra. In quel caso il costo reale resta all'assicurato.

La perdita di merce deperibile è un'area grigia. Prodotti freschi buttati per un errore di magazzino causato da un attacco informatico sono un danno materiale o una perdita da interruzione? La polizza cyber esclude di norma i danni ai beni materiali, la polizza property esclude spesso gli eventi cyber. È una zona da chiarire nelle wording del retail alimentare.

Il furto di dati del fornitore crea un secondo filone. Se i dati sottratti da Termite includono informazioni dei clienti di Blue Yonder, i clienti possono avere obblighi di notifica propri. È un costo che nasce da un incidente altrui e che la polizza del cliente deve coprire come violazione presso un terzo.

Cumulo nel retail

Più di 3.000 clienti, un solo ambiente. Blue Yonder serve produttori, catene della grande distribuzione e operatori logistici. Un assicuratore con un portafoglio retail ampio può avere decine di assicurati che dipendono dallo stesso servizio. Un solo evento genera sinistri correlati di interruzione per dipendenza, nello stesso periodo e nella stessa area.

La concentrazione è nota solo a chi la chiede. I clienti di Blue Yonder non erano un elenco pubblico. Hanno parlato solo alcuni dei clienti colpiti. Senza una domanda specifica nel questionario di assunzione, l'assicuratore scopre la dipendenza al momento del sinistro.

Il 2024 ha mostrato una serie, non un caso isolato. Change Healthcare a febbraio, CDK Global a giugno (TechTarget), Blue Yonder a novembre. In ciascun caso un fornitore di software in hosting per un settore specifico ha fermato migliaia di clienti. Per un portafoglio, questi fornitori verticali sono un cumulo distinto da quello dei grandi cloud, e spesso meno mappato.

Cosa portare nei rinnovi

Impatto per gli assicuratoriAlto

Un singolo fornitore di software per la supply chain ha fermato processi critici in più catene della grande distribuzione nello stesso momento, in piena stagione di picco.

Sul lato portafoglio, il lavoro utile è un elenco dei fornitori di software verticali usati dagli assicurati di ciascun settore: supply chain per il retail, gestionali per i concessionari, intermediari di pagamento per la sanità. Ciascuno è un potenziale evento con molti sinistri insieme, e va trattato come scenario di danno a sé.