CDK Global faisait tourner la plupart des concessions automobiles américaines sur une seule plateforme — une attaque par rançongiciel a tout fait tomber

CDK Global exploite le système de gestion des concessions dont dépendent la plupart des concessions automobiles nord-américaines pour les ventes, le financement, la planification des services et l'inventaire des pièces — une plateforme unique et partagée derrière environ 15 000 points de vente, dont de grands groupes comme Lithia Motors, Group 1 Automotive, Penske et Sonic, et des constructeurs tels que BMW, Nissan et Honda. Le 18 juin 2024, le groupe de rançongiciel BlackSuit a frappé cette plateforme. CDK a arrêté ses propres systèmes informatiques le lendemain pour contenir l'intrusion, et alors qu'il était en pleine phase de rétablissement, les attaquants l'ont frappé une seconde fois.

La demande initiale s'élevait à 10 millions de dollars et a dépassé les 50 millions à mesure que la panne se prolongeait. CDK a indiqué avoir l'intention de payer des dizaines de millions de dollars, et des informations ultérieures ont établi le paiement réel à environ 25 millions de dollars — environ 387 bitcoins envoyés à un compte lié à BlackSuit le 21 juin. Même avec ce paiement, la restauration du service pour chaque concession a pris jusqu'au 4 juillet, plus de deux semaines après la première attaque.

Parce que le logiciel de CDK constituait l'épine dorsale opérationnelle d'une grande partie du secteur à la fois, la panne ne s'est pas limitée à l'infrastructure de CDK. Les concessions ont perdu la capacité de traiter les ventes, de monter les dossiers de financement, d'enregistrer les rendez-vous d'entretien ou de suivre les pièces — beaucoup sont revenues à des contrats rédigés à la main et à des logiciels externes comme solutions de contournement. Anderson Economic Group a estimé les pertes directes des concessionnaires franchisés sur les trois semaines allant du 19 juin au 5 juillet à 1,02 milliard de dollars, un chiffre couvrant les ventes et la main-d'œuvre perdues plutôt que les coûts propres à CDK.

La concentration qui faisait la valeur de CDK pour les concessionnaires — une plateforme réunissant financement, ventes et services, adoptée à l'échelle du secteur parce qu'elle était plus efficace que des systèmes fragmentés — est exactement ce qui a transformé une seule intrusion par rançongiciel en une panne à l'échelle du secteur. Aucune concession ne disposait de solution de repli, car cette solution de repli avait été éliminée de l'organisation au profit d'un fonctionnement intégral via CDK.

Une seule plateforme pour les ventes, le financement et les services ne laissait aucune solution de repli, si bien qu'une seule intrusion a coûté 1,02 milliard de dollars aux concessionnaires et que CDK a payé une rançon d'environ 25 millions de dollars.

Environ 15 000 concessions à travers l'Amérique du Nord faisaient tourner leurs opérations essentielles via une seule plateforme partagée, si bien qu'une seule intrusion est devenue une panne à l'échelle du secteur plutôt qu'un incident circonscrit.

CDK a été frappé une seconde fois alors qu'il se remettait encore de la première attaque, prolongeant une panne qui a finalement duré du 18 juin au 4 juillet.

Les concessions ne disposaient d'aucune solution de repli hors ligne pour les ventes, le financement ou la planification des services — l'efficacité d'un fonctionnement intégral via un seul système ne laissait aucune procédure manuelle de secours une fois ce système hors service.

La rançon est passée de 10 millions à plus de 50 millions de dollars à mesure que la panne se prolongeait, et CDK a payé environ 25 millions de dollars plutôt que de reconstruire de façon indépendante.

Consolider les opérations quotidiennes d'un secteur sur une seule plateforme partagée élimine la redondance en même temps que les inefficacités — une seule attaque par rançongiciel devient la panne de tous, sans aucune solution de repli manuelle.

CDK a rétabli le service complet de toutes les concessions au 4 juillet 2024, environ deux semaines après le début de l'attaque. L'incident a incité des groupes de concessionnaires et des constructeurs à revoir leurs plans de continuité face à une dépendance à un fournisseur unique qu'ils n'avaient pas testée auparavant, et a attiré l'attention sur BlackSuit en tant qu'opération de rançongiciel capable de perturber un secteur majeur des États-Unis avec une seule cible.