Cyberattaque contre Ingram Micro

Contexte et déroulement initial

Début juillet 2025, Ingram Micro, géant mondial de la distribution IT, a subi une cyberattaque majeure. Le 3 juillet, de nombreux dysfonctionnements ont été constatés : impossibilité de passer commande, site web et téléphones inaccessibles, systèmes internes paralysés. Rapidement, des indices ont pointé vers un ransomware, identifié plus tard comme SafePay. Des messages de rançon sont apparus sur les postes de travail, évoquant un chiffrement et une possible exfiltration de données.

Portée de l’attaque et conséquences immédiates

Les plateformes Xvantage et Impulse ont été sévèrement touchées. Ces outils sont cruciaux pour la gestion des commandes et des licences. Certains services Microsoft restaient toutefois opérationnels. Des employés ont été invités à ne pas utiliser le VPN GlobalProtect, soupçonné d’être le point d’entrée initial de l’attaque. L’activité a été suspendue dans certains centres, dont celui de Bulgarie.

Réponse d’Ingram Micro

Après plusieurs jours de silence, l’entreprise a confirmé le 6 juillet qu’un ransomware avait été détecté sur certains systèmes internes. Ingram Micro a lancé une enquête avec des experts en cybersécurité et contacté les autorités. Le groupe s’est excusé pour les perturbations et a indiqué que les restaurations étaient en cours, sans confirmer si des données avaient été volées.

Impacts sur l’écosystème IT mondial

Avec un chiffre d’affaires de près de 48 milliards de dollars, Ingram Micro est un maillon essentiel de la chaîne d’approvisionnement IT mondiale. L’arrêt de ses systèmes a paralysé les flux de commande, les services cloud, les livraisons et la gestion des licences. De nombreux clients ont exprimé leur frustration face au manque de communication. Dans les régions MENA (Moyen-Orient et Afrique du Nord), où Ingram distribue des solutions critiques, les risques sont amplifiés.

Le groupe SafePay

SafePay est un groupe de cybercriminels actif depuis novembre 2024, responsable de plus de 220 attaques. Leur tactique consiste à infiltrer les réseaux via VPN compromis, déployer un chiffreur, puis menacer de publier les données. Ils ne revendiquent aucune motivation politique, mais uniquement financière. Dans ce cas précis, SafePay a reproché à Ingram Micro de multiples erreurs de configuration.

Enjeux et leçons retenues

L’attaque souligne plusieurs failles : vulnérabilité des accès VPN, manque de plans de continuité efficaces, lacunes dans la communication de crise et dépendance excessive à un fournisseur unique. Des sauvegardes hors ligne, une sécurité renforcée des accès distants, une communication proactive et une stratégie de résilience doivent devenir prioritaires.

État des lieux au 7 juillet et perspectives

Une semaine après l’attaque, les systèmes d’Ingram Micro ne sont pas encore pleinement restaurés. Les commandes restent bloquées, les livraisons perturbées, et les clients dans l’attente d’informations. La question du paiement de la rançon, de la divulgation éventuelle de données, et des enseignements post-incident restent ouverts.

Bilan et recommandations

Cette attaque marque un tournant dans la cybersécurité des acteurs logistiques IT. Elle rappelle l’importance cruciale de la transparence, de la résilience et de la diversification dans un monde de plus en plus dépendant des infrastructures numériques. Pour prévenir des incidents similaires, les entreprises doivent adopter des pratiques de cybersécurité robustes, renforcer leurs protocoles d’accès, et mettre en place des plans de continuité concrets et testés régulièrement.

Sources :
Bleeping Computer - Ingram Micro outage caused by SafePay ransomware attack
The Register - Ingram Micro confirms ransomware behind multi-day outage