Публикации в тъмната мрежа сочат възможно изтичане на пристанищни и корабни данни в 18 държави. Според SOCRadar сходствата между обявените масиви може да показват обща уязвима система или споделена точка за достъп, но твърденията все още не са публично потвърдени.
Групата за изнудване n0n е добавила 38 организации от световния морски и логистичен сектор към своя сайт за публикуване на откраднати данни, съобщава компанията за разузнаване на киберзаплахи SOCRadar. Списъкът обхваща 18 държави и включва оператори на контейнерни терминали, корабни компании, доставчици на пристанищни информационни системи и логистични предприятия.
Южна Корея е най-силно представената държава с 12 организации, сред които операторите на терминали BNCT и Pusan Newport Company. Според публикуваните описания потенциално засегнатата информация включва графици на плавателни съдове, контейнерни манифести, записи за движения през портални съоръжения, транспортни документи и конфигурации на терминални системи.
Важно уточнение: към момента на публикуване на първоначалния анализ няма публично потвърждение от посочените морски организации, че са станали жертва на пробив. Затова обявените компрометирания трябва да се разглеждат като твърдения на престъпната група, а не като установени инциденти.
Общ източник на данни или отделни пробиви?
Според анализа на SOCRadar характеристиките на публикуваните масиви допускат възможността да става дума за обща точка на проникване, например изложено в интернет приложение или уязвим компонент, използван от множество организации. Тази хипотеза се основава на няколко наблюдения.
Първо, описаните масиви са сравнително малки и ограничени до конкретни приложения и бизнес процеси. Посочените обеми варират от 60 MB до 2,4 GB, а броят на файловете – от 18 до 774. Според SOCRadar това е по-съвместимо с извличане на данни от конкретно приложение или хранилище, отколкото с пълно компрометиране на корпоративни мрежи.
Второ, повтарят се едни и същи категории информация: съобщения за електронен обмен на данни (EDI), контейнерни манифести, записи за движение на товари и оборудване, конфигурационни файлове и документация за внедряване на системи.
Трето, при проверка на данни от логове на зловреден софтуер за кражба на информация SOCRadar не е открила съвпадения за идентификационни данни на много от посочените морски организации. Това е съществена подробност, тъй като според профила на групата откраднатите чрез инфостилъри данни за достъп са един от начините ѝ за първоначално проникване.
Нито един от тези признаци обаче не доказва самостоятелно наличието на обща уязвимост или споделена компрометирана платформа. Това остава аналитична хипотеза, която трябва да бъде потвърдена чрез технически данни и разследвания на засегнатите организации и техните доставчици.
Какви данни може да са изложени?
Публикациите описват информация с пряко оперативно и търговско значение. За пристанищата и корабните оператори подобни масиви могат да разкриват не само документи, но и връзките между отделните участници в товарните вериги.
В обявата за виетнамското пристанище Нам Дин Ву например са посочени 23 507 EDI файла, включващи графици на кораби, контейнерни манифести, движения през портални съоръжения и съобщения за резервации. Индонезийската компания ILCS Pelindo е посочена с 2,4 GB данни в 108 файла, включващи архиви на контейнерни манифести и оперативни записи.
За Pusan Newport Company са заявени 1,5 GB в 774 файла, сред които транспортни документи, EDI записи, материали за внедряване и конфигурации на терминални системи. В други публикации се споменават търговски конфигурации, документация за системни версии, електронни фактури, разписки за предаване на оборудване и записи от инспекции.
Ако тези описания отговарят на действително откраднато съдържание, последствията могат да надхвърлят разкриването на търговска информация. Комбинацията от графици, движения на товари и технически конфигурации би могла да подпомогне измами, целенасочен фишинг или подготовка на атаки срещу свързани организации. Реалният риск зависи от съдържанието на файловете и от това дали информацията може да бъде свързана с конкретни операции и системи.
Изнудване без задължително криптиране
n0n се появява през септември 2026 г. и според профила на SOCRadar използва публикуването на откраднати данни като средство за натиск. За разлика от класическите рансъмуер операции, при които файловете на жертвата се криптират, моделът на групата е съсредоточен върху кражбата на информация и заплахата тя да бъде разкрита публично.
Това не означава, че оперативните последствия непременно са ограничени до загуба на поверителност. Профилът на групата включва техники, свързани с криптиране и възпрепятстване на възстановяването, макар публично да няма установена връзка с конкретен криптиращ зловреден софтуер.
SOCRadar съобщава, че публикациите за морския сектор са получили общ краен срок за разкриване на данните: 19 октомври 2026 г. в 13:27 ч. UTC. Според прегледаните от компанията исканията за плащане варират между 2,4 и 14 милиона долара. Еднаквият срок и едновременното публикуване на именувани организации се разглеждат като още един възможен признак, че данните са обработени като обща партида.
Сайтът на групата функционира и като публичен инструмент за натиск. Статуси като „Pending Exposure“ обозначават предстоящо разкриване при скрита самоличност на жертвата, докато „Not Paid, exposed“ показва организация, чието име вече е публикувано. Статусът „Honored“ се използва за жертви, за които групата твърди, че са платили преди крайния срок.
SOCRadar посочва, че от 21 по-ранни жертви 19 все още са отбелязани като непотвърдени твърдения, една е в преговори, а при една – Chibitek – данните са били публикувани. Този контекст е още една причина заявените компрометирания да не се приемат автоматично за доказани.
Какво трябва да направят пристанищата и логистичните компании?
Организациите, които обменят EDI данни с посочените компании, трябва да оценят риска от изтичане през партньорска или споделена система, дори собствената им мрежа да не е компрометирана.
На първо място е необходимо да се картографират общите платформи: системи за обмен на пристанищни данни, EDI хъбове, решения на доставчици на терминални системи и услуги за прехвърляне на файлове. Доставчиците трябва да бъдат попитани дали разследват инциденти и дали има основания за проверка на споделени интерфейси.
Следва да се проверят изложените в интернет EDI и файлови услуги, както и компонентите на терминалните системи, за неприлагани актуализации, необичайни влизания и масово изтегляне на данни. Особено внимание заслужават интеграционните акаунти за SFTP, AS2 и VAN, както и профилите за поддръжка на външни доставчици. Дългогодишните и споделени пароли трябва да бъдат приоритет при ротацията на идентификационните данни.
Необходимо е също да се проверят възможни изтичания на служебни и доставни идентификационни данни, да се наложи многофакторна автентикация за VPN и RDP и да се премахне директният достъп до RDP от интернет. Организациите трябва да прегледат и последните отдалечени сесии за връзки от непознати източници.
Накрая, плановете за реакция трябва да включват сценарий, при който данните на компанията изтичат през компрометиран партньор или доставчик. Предварително подготвените процедури за уведомяване на клиенти, регулатори и бизнес партньори могат да ограничат объркването, ако част от оперативната информация бъде публикувана.
Крайният срок 19 октомври ще бъде важен тест за достоверността на твърденията на n0n. Обемът и съдържанието на евентуално публикуваните файлове, както и потвържденията от засегнатите организации, ще помогнат да се установи какво действително притежава групата и дали зад кампанията стои общ източник на данни.
