CDK Global operava a maioria das concessionárias dos EUA em uma única plataforma — o ransomware derrubou tudo

A CDK Global opera o sistema de gestão de concessionárias do qual a maioria das concessionárias de veículos da América do Norte depende para vendas, financiamento, agendamento de serviços e inventário de peças — uma única plataforma compartilhada por trás de aproximadamente 15.000 pontos de concessionárias, incluindo grandes grupos como Lithia Motors, Group 1 Automotive, Penske e Sonic, e montadoras como BMW, Nissan e Honda. Em 18 de junho de 2024, o grupo de ransomware BlackSuit atacou essa plataforma. A CDK desligou seus próprios sistemas de TI no dia seguinte para conter a intrusão e, enquanto estava no meio da recuperação, os atacantes a atingiram uma segunda vez.

A exigência começou em US$ 10 milhões e subiu para mais de US$ 50 milhões à medida que a paralisação se prolongava. A CDK indicou que pretendia pagar dezenas de milhões de dólares, e reportagens posteriores situaram o pagamento efetivo em cerca de US$ 25 milhões — aproximadamente 387 bitcoins enviados a uma conta ligada ao BlackSuit em 21 de junho. Mesmo com o pagamento, a restauração do serviço a todas as concessionárias levou até 4 de julho, mais de duas semanas após o primeiro ataque.

Como o software da CDK era a espinha dorsal operacional de grande parte do setor ao mesmo tempo, a paralisação não ficou contida na própria infraestrutura da CDK. As concessionárias perderam a capacidade de processar vendas, fechar a papelada de financiamento, registrar agendamentos de serviço ou rastrear peças — muitas voltaram a fazer negócios à mão e a usar softwares externos como alternativas. O Anderson Economic Group estimou as perdas diretas das concessionárias franqueadas nas três semanas entre 19 de junho e 5 de julho em US$ 1,02 bilhão, um valor que abrange vendas e mão de obra perdidas, e não os custos da própria CDK.

A concentração que tornava a CDK valiosa para as concessionárias — uma plataforma que rodava finanças, vendas e serviços juntos, adotada em todo o setor por ser mais eficiente do que sistemas fragmentados — foi exatamente o que transformou uma intrusão de ransomware em uma paralisação de todo o setor. Nenhuma concessionária individual tinha um plano alternativo, porque esse plano alternativo havia sido eliminado do negócio em favor de rodar tudo pela CDK.

Uma plataforma para vendas, financiamento e serviços não deixou alternativa, então uma única intrusão custou US$ 1,02 bilhão às concessionárias e a CDK pagou cerca de US$ 25 milhões de resgate.

Aproximadamente 15.000 concessionárias na América do Norte executavam operações centrais por meio de uma única plataforma compartilhada, então uma única intrusão se tornou uma paralisação de todo o setor, e não um incidente contido.

A CDK foi atingida uma segunda vez enquanto ainda se recuperava do primeiro ataque, prolongando uma paralisação que acabou indo de 18 de junho a 4 de julho.

As concessionárias não tinham alternativa offline para vendas, financiamento ou agendamento de serviços — a eficiência de rodar tudo por um único sistema não deixou nenhum caminho de backup manual quando esse sistema desapareceu.

O resgate subiu de US$ 10 milhões para mais de US$ 50 milhões à medida que a paralisação se prolongava, e a CDK pagou cerca de US$ 25 milhões em vez de reconstruir de forma independente.

Consolidar as operações diárias de um setor em uma única plataforma compartilhada elimina a redundância junto com a ineficiência — um ataque de ransomware se torna a paralisação de todos, sem nenhuma alternativa manual restante.

A CDK restaurou o serviço completo de todas as concessionárias até 4 de julho de 2024, cerca de duas semanas após o início do ataque. O incidente levou grupos de concessionárias e montadoras a revisar planos de contingência para uma dependência de fornecedor único que não haviam testado sob pressão anteriormente, e chamou atenção para o BlackSuit como uma operação de ransomware capaz de perturbar um importante setor dos EUA com um único alvo.