ANALISI
Ingram Micro: sei giorni di fermo per un distributore e per i suoi clienti
Il 3 luglio 2025 un ransomware ha fermato per circa sei giorni ordini e attivazione delle licenze di Ingram Micro, uno dei maggiori distributori di tecnologia. L'analisi: interruzione da dipendenza per rivenditori e fornitori di servizi gestiti, periodi di attesa, cumulo nel canale IT e domande per i rinnovi.
Archivio: ricostruzione scritta a novembre 2026
Tema del mese di luglio 2025 · di cybercoverinsurance
Il 3 luglio 2025, all'inizio del fine settimana festivo dell'Indipendenza negli Stati Uniti, un ransomware ha colpito Ingram Micro, uno dei maggiori distributori mondiali di tecnologia per le aziende. Il sito e le piattaforme di ordine e di attivazione delle licenze si sono fermati per diversi giorni. Il 9 luglio l'azienda ha dichiarato di essere di nuovo operativa in tutti i paesi. Mesi dopo ha notificato a oltre 42.000 persone il furto di dati personali.
Il caso è utile per chi assume il rischio cyber per ciò che non si vede nel bilancio di Ingram: le migliaia di rivenditori, integratori e fornitori di servizi gestiti che per alcuni giorni non hanno potuto ordinare hardware né attivare licenze. È un esempio di interruzione dell'attività da dipendenza, breve e diffusa, e di come le condizioni di polizza decidano se diventa sinistro.
Cosa si sa
L'attacco. Secondo BleepingComputer, l'attacco è iniziato giovedì 3 luglio. Il sito e i sistemi di ordine online sono andati offline, insieme alla piattaforma di distribuzione Xvantage e alla piattaforma Impulse per l'attivazione delle licenze. Una nota di riscatto del gruppo SafePay è stata trovata su dispositivi dell'azienda. Fonti ritengono che gli attaccanti siano entrati dalla VPN GlobalProtect, probabilmente con credenziali compromesse. Palo Alto Networks ha dichiarato che nessun suo prodotto era la fonte della vulnerabilità (BleepingComputer).
La conferma e il ripristino. Ingram ha parlato prima di un «disservizio informatico» e ha confermato il ransomware solo dopo due giorni, sotto la pressione di partner e giornalisti (Channel Insider). L'8 luglio accettava ordini via telefono ed email in diversi paesi. Il 9 luglio ha dichiarato di essere operativa in tutti i paesi e regioni. Il 29 luglio SafePay ha inserito Ingram nel proprio sito di pubblicazione, minacciando di diffondere 3,5 TB di dati (The Register).
I conti. Nei risultati del secondo trimestre il CEO Paul Bay ha detto che l'attacco non aveva inciso sul trimestre chiuso a giugno. Il direttore finanziario ha parlato di un effetto ancora da quantificare per i giorni senza transazioni, attenuato dalla coincidenza con la festività. Le previsioni per il terzo trimestre tenevano conto di una possibile perdita di affari. Bay ha confermato che alcuni dati erano stati esfiltrati (IT Channel Oxygen).
Le notifiche. A gennaio 2026 sono emerse le comunicazioni al procuratore generale del Maine: 42.521 persone, con nomi, date di nascita, numeri di previdenza sociale, passaporti, patenti e informazioni legate al lavoro. Gli attaccanti avevano avuto accesso ad alcuni archivi di file interni il 2 e 3 luglio (TechInformed).
Cosa non è noto. Ingram non ha reso pubblici i costi dell'incidente, eventuali richieste o pagamenti di riscatto né il numero di clienti rimasti senza servizio. Non risultano dati pubblici sulle perdite dei rivenditori.
Il fermo del distributore è il fermo dei clienti
Sei giorni per Ingram, sei giorni per tutti. Un distributore sta tra i produttori e migliaia di rivenditori. Quando le sue piattaforme si fermano, chi vende hardware e software alle aziende non riceve merce e non attiva licenze. Per i clienti di Ingram il danno è un'interruzione da dipendenza, senza alcuna violazione dei loro sistemi.
Le licenze contano quanto la merce. La piattaforma Impulse serve ad attivare abbonamenti software. Per un fornitore di servizi gestiti, non poter attivare o rinnovare licenze per i propri clienti significa contratti di servizio non rispettati. Il danno può trasformarsi in responsabilità verso i clienti finali.
Il periodo di franchigia temporale decide. Le garanzie di interruzione da dipendenza scattano di norma dopo un periodo di attesa espresso in ore, e solo per fornitori di servizi informatici o per fornitori indicati. Un distributore di tecnologia non sempre rientra nella definizione di fornitore di servizi informatici. Un fermo di pochi giorni può restare sotto la soglia per molti clienti e sopra per altri.
Un fermo breve e diffuso
Molti danni piccoli, pochi sinistri. La maggior parte dei rivenditori ha probabilmente perso vendite o le ha solo rinviate. È il profilo di evento che produce molti danni piccoli, molte domande ai broker e pochi sinistri pagati. Per chi assume il rischio, è comunque un test delle definizioni di polizza: quelle chiare evitano contestazioni su migliaia di pratiche.
Il calendario ha aiutato. Il direttore finanziario ha attribuito l'impatto limitato anche al fatto che l'attacco è caduto durante una festività e all'inizio del mese e del trimestre (IT Channel Oxygen). Lo stesso fermo a fine trimestre, quando i rivenditori chiudono gli ordini, avrebbe pesato di più.
Il cumulo è nella catena del canale. Pochi grandi distributori servono gran parte del mercato IT. Un portafoglio di piccole aziende tecnologiche, rivenditori e fornitori di servizi gestiti dipende spesso dagli stessi due o tre distributori. Il dato è raramente raccolto.
La VPN e i dati del personale
La VPN resta un punto d'ingresso. Secondo le fonti, l'ingresso è passato da una VPN con credenziali compromesse. SafePay, secondo BleepingComputer, è noto per entrare dalle VPN con credenziali rubate o con tentativi di password su larga scala. L'autenticazione a più fattori sull'accesso remoto è il controllo più chiesto nei questionari, e il caso conferma perché.
I dati rubati sono soprattutto del personale. Le informazioni notificate includono dati legati al lavoro e documenti d'identità (TechInformed). Per un'azienda che vende ad altre aziende, la violazione dei dati di dipendenti e candidati è la parte che genera notifiche, anche se il danno principale è l'interruzione.
Cosa portare ai rinnovi
Impatto per gli assicuratoriMedio
Il ransomware su un grande distributore di tecnologia ha fermato per circa sei giorni ordini e attivazione delle licenze per migliaia di clienti, con danni da dipendenza diffusi ma brevi.
Sul fronte del portafoglio, la domanda utile è quanti assicurati del canale IT dipendono dallo stesso distributore. Un fermo di una settimana al momento sbagliato del trimestre, presso uno dei pochi grandi distributori, è uno scenario di cumulo semplice da costruire e da usare per verificare le definizioni di interruzione da dipendenza.