Датската логистична компания Maersk разследва неоторизиран достъп и извличане на данни от стара локална система, придобита при предишна корпоративна сделка. Инцидентът беше разкрит, след като ransomware групата WhiteArmor заяви, че е откраднала около 100 GB информация от платформата за логистични услуги на компанията и заплаши да я публикува. Засега твърденията на групата не са независимо потвърдени.

В съобщението си от 11 ноември Maersk посочва, че е установила проблема чрез екипа си по киберсигурност и незабавно е започнала разследване. Засегнатата система е защитена, а до момента няма индикации за въздействие върху други системи на компанията или върху инфраструктурата на клиенти и партньори, свързани чрез API интерфейси и електронен обмен на данни (EDI).

Компанията заявява, че не очаква прекъсване на обслужването и клиентите могат да продължат да използват платформите ѝ за резервиране и управление на товарни превози. Според първоначалните резултати няма сериозни основания да се смята, че чувствителни данни са били разкрити.

Maersk не разкрива първоначалния вектор на проникване, използваните уязвимости, самоличността на извършителите или какви данни действително са били извлечени. Не е потвърдено и дали инцидентът е засегнал оперативни технологии (OT), индустриални системи за управление (ICS) или дейности, свързани с корабоплаването.

WhiteArmor твърди, че разполага с данни на клиенти и служители

Според платформата Ransomware.live групата WhiteArmor е публикувала твърдението си на 7 ноември 2026 г. в 03:48 UTC. Посочената засегната структура е OCF/LF Logistics – подразделението за договорна логистика, известно преди като LF Logistics и придобито от Maersk.

В публикацията си нападателите твърдят, че са извлекли приблизително 100 GB данни. Сред изброената информация са:

• 29 297 записа на шофьори, от които 16 093 съдържат пароли в открит текст;
• 16 123 служебни акаунта, включително 33 със супер администраторски привилегии;
• 18 913 получатели на доставки с имена и адреси;
• 64 665 подписани потвърждения за доставки и общо 214 107 документа;
• 14,44 милиона записа за складови наличности;
• 189 248 поръчки за покупка;
• 334 432 предварителни известия за експедиция;
• 27 842 записа от мобилни устройства.

WhiteArmor е поискала 5 милиона долара в биткойн в срок от 30 дни, като в публикацията сумата е представена като приблизително равна на четири часа от EBITDA на Maersk.

Тези данни идват от публикацията на самата група и не са потвърдени от компанията. Ransomware.live определя WhiteArmor като нововъзникваща група и предупреждава, че твърденията ѝ трябва да се приемат предпазливо до независима проверка.

Платформата Pulse by Kalir също е регистрирала публикацията на 7 ноември в 03:48 UTC и посочва, че е публикувана екранна снимка от сайта за изтичане на данни. В структурирания запис обаче сумата на откупа и обемът на откраднатата информация са отбелязани като неразкрити. Това е разминаване с конкретните числа в текста на WhiteArmor.

Pulse by Kalir отчита и друг скорошен предполагаем потърпевш от групата – колумбийската клиника Clínica La Sagrada Familia. Нито една от двете платформи не потвърждава независимо твърденията на нападателите.

Наследените системи остават риск след придобивания

Инцидентът отново поставя въпроса за сигурността на технологичната инфраструктура, която компаниите наследяват при сливания и придобивания.

Сиймант Сегал, основател и изпълнителен директор на BreachLock, обръща внимание, че придобитите системи често запазват собствени идентификационни данни, графици за актуализации и връзки към корпоративната мрежа, изградени по време на интеграцията. С течение на времето отговорността за тях може да стане неясна, а достъпът и зависимостите им да останат недостатъчно контролирани.

Според него проверките за проникване още в процеса на предварителна оценка на придобиването могат да разкрият подобни проблеми, докато все още има възможност те да бъдат отстранени преди финализирането на сделката.

Джон Странд от Black Hills Information Security също подчертава, че определянето на една система като „наследена“ не освобождава новия собственик от отговорността за нейната защита. По думите му сигурността на придобитата инфраструктура трябва да бъде съществена част от проверките при сливания и придобивания, наред с финансовия и правния анализ.

Деймън Смол, член на борда на Xcape Inc., определя неконтролирания технологичен дълг от корпоративни придобивания като сериозен пропуск в управлението на риска. Той отбелязва, че бързото ограничаване на инцидента може да бъде решаващо за предотвратяването на по-големи оперативни и финансови последствия.

Споменът за NotPetya

За Maersk сигурността на логистичната инфраструктура има особено значение след разрушителната атака с NotPetya през 2017 г. Тогава компанията понесе щети, оценявани на около 300 милиона долара.

Смол смята, че натрупаният опит от този инцидент вероятно е допринесъл за по-зрели процедури за реакция, които сега са позволили компрометираната система да бъде изолирана, преди да бъдат засегнати основните логистични операции.

Засега Maersk съобщава, че клиентските платформи и интеграциите с партньори продължават да работят нормално. Действителният обхват на извлечената информация обаче остава неясен.

Случаят показва, че дори когато основните корпоративни системи остават незасегнати, недостатъчно защитена инфраструктура, придобита при предишна сделка, може да се превърне във входна точка за атака и изнудване. Наследените системи не са извън периметъра на отговорност – те трябва да бъдат инвентаризирани, проверявани и управлявани със същите изисквания за сигурност като останалата инфраструктура.