CDK Global opera el sistema de gestión de concesionarios del que dependen la mayoría de los concesionarios de automóviles de Norteamérica para las ventas, la financiación, la programación de servicios y el inventario de piezas: una única plataforma compartida que da servicio a unos 15.000 puntos de venta, incluidos grandes grupos como Lithia Motors, Group 1 Automotive, Penske y Sonic, y fabricantes como BMW, Nissan y Honda. El 18 de junio de 2024, la banda de ransomware BlackSuit atacó esa plataforma. CDK apagó sus propios sistemas informáticos al día siguiente para contener la intrusión y, mientras estaba en pleno proceso de recuperación, los atacantes volvieron a atacarla por segunda vez.
La exigencia inicial fue de 10 millones de dólares y superó los 50 millones a medida que se prolongaba la interrupción. CDK indicó que tenía la intención de pagar decenas de millones de dólares, y los reportes posteriores situaron el pago real en aproximadamente 25 millones de dólares: unos 387 bitcoines enviados a una cuenta vinculada a BlackSuit el 21 de junio. Incluso con el pago, restablecer el servicio a todos los concesionarios llevó hasta el 4 de julio, más de dos semanas después del primer ataque.
Como el software de CDK era la columna vertebral operativa de gran parte del sector a la vez, la interrupción no quedó contenida en la propia infraestructura de CDK. Los concesionarios perdieron la capacidad de procesar ventas, tramitar papeleo de financiación, registrar citas de servicio o hacer seguimiento de piezas; muchos volvieron a redactar las operaciones a mano y a usar software externo como soluciones provisionales. Anderson Economic Group estimó las pérdidas directas de los concesionarios franquiciados en las tres semanas que abarcan del 19 de junio al 5 de julio en 1.020 millones de dólares, una cifra que cubre las ventas y la mano de obra perdidas, no los costos propios de CDK.
La concentración que hacía valiosa a CDK para los concesionarios —una sola plataforma que gestionaba juntas la financiación, las ventas y el servicio, adoptada en todo el sector por ser más eficiente que los sistemas fragmentados— fue exactamente lo que convirtió una sola intrusión de ransomware en una interrupción de todo el sector. Ningún concesionario individual tenía un plan alternativo, porque ese plan alternativo se había eliminado del negocio en favor de gestionarlo todo a través de CDK.
Una sola plataforma para ventas, financiación y servicio no dejaba alternativa, por lo que una única intrusión costó a los concesionarios 1.020 millones de dólares y CDK pagó un rescate de unos 25 millones de dólares.
Unos 15.000 concesionarios de Norteamérica gestionaban sus operaciones principales a través de una única plataforma compartida, de modo que una sola intrusión se convirtió en una interrupción de todo el sector en lugar de un incidente contenido.
CDK fue atacada por segunda vez mientras aún se recuperaba del primer ataque, lo que prolongó una interrupción que finalmente se extendió del 18 de junio al 4 de julio.
Los concesionarios no tenían un plan alternativo sin conexión para las ventas, la financiación ni la programación de servicios: la eficiencia de gestionarlo todo a través de un solo sistema no dejó ninguna vía de respaldo manual una vez que ese sistema desapareció.
El rescate pasó de 10 millones a más de 50 millones de dólares a medida que se prolongaba la interrupción, y CDK pagó aproximadamente 25 millones de dólares en lugar de reconstruir de forma independiente.
Consolidar las operaciones diarias de un sector en una única plataforma compartida elimina la redundancia junto con la ineficiencia: un solo ataque de ransomware se convierte en la interrupción de todos, sin que quede ninguna alternativa manual.
CDK restableció el servicio completo a todos los concesionarios el 4 de julio de 2024, aproximadamente dos semanas después de que comenzara el ataque. El incidente llevó a grupos de concesionarios y fabricantes a revisar los planes de contingencia frente a una dependencia de un único proveedor que no habían sometido antes a pruebas de estrés, y puso la atención sobre BlackSuit como una operación de ransomware capaz de perturbar a un importante sector estadounidense con un solo objetivo.
CONSULTA LAS PRUEBAS
Las fuentes
- TechTarget — The CDK Global outage: Explaining how it happened techtarget.com
- CNN Business — Extended CDK outage brings chaos to car dealers edition.cnn.com
- CNN Business — CDK almost certainly paid a $25 million ransom cnn.com
- TechCrunch — CDK Global cyberattacks leave car dealerships across the US paralyzed techcrunch.com