Maersk confirme une fuite de données : WhiteArmor réclame 5 millions de dollars

100 Go de données, 30 jours pour payer et une rançon de 5 millions de dollars en bitcoins : c'est l'ultimatum lancé par le groupe WhiteArmor au géant danois du transport maritime Maersk. L'intrusion a été confirmée. Voici ce que l'on sait.

Le 11 novembre 2026, A.P. Moller-Maersk a publié un communiqué au sujet d'un incident de sécurité informatique. Maersk reconnaît un accès non autorisé de la part d'un tiers et une fuite de données. Le système compromis correspond à un système "hérité" à la suite du rachat d'une entreprise.

"À ce stade, nos constatations suggèrent fortement qu'aucune donnée sensible n'a été divulguée", affirme l'entreprise. L'incident serait isolé à ce système local : aucun impact n'a été détecté sur les autres systèmes de Maersk, ni sur ceux des clients et des partenaires connectés via des API ou de l'EDI (échange de données informatisé). Autrement dit, il n'y aurait aucune perturbation opérationnelle à prévoir.

Pour rappel, Maersk exploite plus de 700 porte-conteneurs, est présent dans 130 pays et emploie plus de 100 000 personnes. Et ce n'est pas la première fois que Maersk est victime d'une cyberattaque. La précédente était même conséquente. En effet, en 2017, NotPetya l'avait contraint à réinstaller 45 000 postes de travail et 4 000 serveurs en une dizaine de jours, pour des pertes estimées entre 250 et 300 millions de dollars. Un cas d'école en matière de plan de reprise d'activité (PRA) et de plan de continuité d'activité (PCA).

Les données revendiquées par WhiteArmor

À l'origine de cette cyberattaque, le gang de ransomware WhiteArmor : Maersk a été ajouté à son site vitrine le week-end du 7 et 8 novembre. Les cybercriminels réclament d'ailleurs une somme importante : 5 millions de dollars en bitcoins, et Maersk dispose de 30 jours pour payer cette rançon. Ce montant n'a pas été choisi au hasard, car selon WhiteArmor, cette somme représenterait environ quatre heures d'EBITDA (l'équivalent de l'excédent brut d'exploitation) de l'activité de logistique contractuelle de Maersk.

D'après WhiteArmor, les données proviennent de la plateforme OCF/LF Logistics. Son éditeur d'origine, le Hongkongais LF Logistics, a été racheté par Maersk au groupe Li & Fung pour 3,6 milliards de dollars. Une opération finalisée fin août 2022. La fuite de données représenterait environ 100 Go de fichiers, et voici ce qu'elle contiendrait :

• Chauffeurs : près de 30 000 fiches de chauffeurs.

• Identifiants : des mots de passe en clair, ainsi que 33 comptes SUPER_ADMIN de la plateforme.

• Documents logistiques : des bons de livraison signés, des bons de commande et des avis d'expédition anticipés.

• Appareils mobiles : 27 842 journaux contenant des numéros de téléphone, des adresses e-mail et des numéros IMEI.

De son côté, Maersk n'a précisé ni la nature des données, ni la date de l'intrusion. Autre point important, le communiqué ne mentionne pas le chiffrement de données : l'extorsion repose, à ce stade, uniquement sur la menace de publier les données. Pour autant, WhiteArmor est bien associé à un ransomware.

Les systèmes hérités d'un rachat, un angle mort classique

Lors d'un rachat, les systèmes de l'entreprise acquise ne sont pas toujours migrés ou décommissionnés rapidement. Ils continuent de tourner en marge du SI du groupe, avec leurs propres comptes à privilèges et leurs propres pratiques de sécurité. Si les allégations de WhiteArmor se confirment des mots de passe en clair sur une plateforme encore accessible quatre ans après le rachat illustreraient bien cette dette technique.

Il est pourtant essentiel de faire un inventaire complet suite à un rachat : recenser les applications et serveurs hérités, identifier les comptes administrateurs propres à ces plateformes et les rattacher à la gestion des identités du groupe (MFA, revue régulière des accès), etc.

Ajouter IT-Connect à mes
sources préférées

Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.