Le distributeur Ingram Micro paralysé par un ransomware

Le distributeur mondial Ingram Micro a subi une attaque par ransomware début juillet 2025. Le malware a mis à genoux les systèmes de l'entreprise et paralysé l’ensemble de ses opérations.

Ingram Micro se spécialise dans la fourniture de matériel informatique, de logiciels et de solutions cloud à destination des professionnels. Son modèle repose sur l’achat en gros auprès des principaux constructeurs (ordinateurs, téléviseurs, équipements réseau, solutions de cybersécurité….) et la redistribution à un vaste réseau de clients professionnels, soit plus de 161 000 entreprises partenaires dans le monde. Mais depuis le 3 juillet, tout est à l'arrêt.

Le distributeur paralysé

En début de mois, Ingram Micro a constaté une interruption soudaine de ses services : commandes, livraisons et plateformes cloud ont été rendues inaccessibles. L’entreprise a rapidement publié un message d’excuse sur ses sites, évoquant un "incident de cybersécurité" sans en préciser la nature. Ce n’est que trois jours plus tard qu’un communiqué officiel a confirmé la présence d’un ransomware sur certains systèmes internes :

"Ingram Micro a récemment identifié la présence d’un ransomware sur certains de ses systèmes internes. Dès la découverte du problème, l’entreprise a pris des mesures pour sécuriser l’environnement concerné, notamment en mettant certains systèmes hors ligne de manière proactive et en appliquant d’autres actions correctives. La société a également lancé une enquête avec l’aide d’experts en cybersécurité de premier plan et a informé les autorités compétentes."

Le point d'attaque : un VPN mal configuré

Selon Bleeping Computer, l’attaque a été revendiquée par le groupe SafePay, identifié depuis fin 2024. Contrairement aux approches classiques reposant sur le phishing, SafePay exploite des identifiants VPN ou RDP compromis, souvent récupérés sur le dark web à la suite de fuites de données. Cette méthode permet une prise de contrôle à distance des infrastructures ciblées et rend la détection plus complexe pour les équipes de sécurité. Dans le cas d’Ingram Micro, le point d’entrée aurait été le VPN GlobalProtect, un outil utilisé pour l’accès distant sécurisé aux systèmes internes.

Les hackers de SafePay affirment :

"Nous détenons vos fichiers, tels que documents financiers, propriété intellectuelle, dossiers comptables, procès, fichiers du personnel et des clients, ainsi que des fichiers contenant des informations bancaires, des transactions et de la documentation interne.
Nous avons également bloqué certains serveurs"

Dès la découverte de l’intrusion, Ingram Micro a sollicité l’appui d’experts en cybersécurité externes et informé les autorités compétentes. Les mesures de confinement ont inclus l’arrêt proactif de certains services et la demande faite aux employés de travailler à distance, tout en évitant l’utilisation des outils compromis.

Des conséquences déjà concrètes

L’attaque a eu des répercussions immédiates sur la chaîne logistique mondiale : impossibilité de passer ou de suivre des commandes, gestion des licences logicielles interrompue et retards dans la livraison de matériel informatique.

L’impact financier est aussi bel et bien réel : la valeur boursière d’Ingram Micro a plongé à l’annonce de l’incident. Les analystes estiment que chaque jour d’arrêt pourrait représenter une perte de chiffre d’affaires conséquente pour l’entreprise, dont les revenus annuels dépassent 48 milliards de dollars.