De Deense scheepvaart- en logistiekreus A.P. Moller–Maersk heeft bevestigd dat een aanvaller ongeautoriseerde toegang heeft gekregen tot een lokaal legacy-systeem en daar gegevens uit heeft gehaald. Volgens het bedrijf gaat het om een systeem dat is meegekomen bij een eerdere overname. Maersk stelt op basis van de huidige bevindingen dat er geen aanwijzingen zijn dat gevoelige data openbaar is gemaakt en dat de bedrijfsvoering niet wordt verstoord.
De melding volgt nadat de ransomwaregroep WhiteArmor Maersk afgelopen weekend op een eigen leksite plaatste. De groep claimt ongeveer 100 GB aan data te hebben buitgemaakt en eist 5 miljoen dollar in bitcoin. Maersk heeft bevestigd dat er sprake is van datadiefstal, maar heeft niet bevestigd dat de door WhiteArmor genoemde omvang of inhoud van de buitgemaakte gegevens klopt.
Bevestigd: incident beperkt tot lokaal legacy-systeem
Maersk zegt dat het onderzoek naar het incident nog loopt. Volgens de onderneming wijst de beschikbare informatie erop dat de inbraak geïsoleerd is gebleven tot een lokaal systeem. Het bedrijf meldt geen aanwijzingen te hebben gevonden dat andere Maersk-systemen zijn geraakt, of dat systemen van klanten en partners die via integraties zoals API’s en EDI met Maersk verbonden zijn impact hebben ondervonden.
Ook verwacht Maersk geen verstoringen van operationele processen. Klanten zouden volgens het bedrijf zendingen gewoon kunnen blijven boeken en beheren via de reguliere systemen. Details over het getroffen systeem, het moment van de inbraak en de exacte typen gegevens die zijn ingezien of meegenomen, zijn niet gedeeld.
De context is relevant omdat Maersk een van de grootste spelers in wereldwijde containerlogistiek is. Het concern is actief in 130 landen, beheert circa 700 containerschepen, heeft ongeveer 13,5 procent van de mondiale vlootcapaciteit, exploiteert 60 terminals in 35 landen en telt ongeveer 100.000 medewerkers. Vorig jaar rapporteerde Maersk een omzet van 54 miljard dollar en een nettowinst van 2,9 miljard dollar.
WhiteArmor claimt diefstal van 100 GB data
WhiteArmor gebruikt de vermeende datadiefstal voor afpersing. De groep vraagt publiekelijk om 5 miljoen dollar en zegt Maersk 30 dagen te geven om contact op te nemen en te betalen in bitcoin. Volgens de afpersers zou de data afkomstig zijn van het OCF/LF Logistics-platform.
LF Logistics werd in 2022 door Maersk overgenomen van Li & Fung Group. Het bedrijf was de oorspronkelijke ontwikkelaar van het door WhiteArmor genoemde platform. Daarmee lijkt de zaak te passen in een bekend risicopatroon bij grote overnames: oudere systemen en overgenomen applicaties kunnen nog jaren later een zwakke plek vormen, vooral als zij los staan van modernere beveiligingsprocessen of afwijkende beheermodellen hebben.
De door WhiteArmor genoemde inhoud is niet onafhankelijk bevestigd door Maersk. De groep beweert onder meer te beschikken over bijna 30.000 chauffeursrecords, wachtwoorden in platte tekst, 33 SUPER_ADMIN-accounts, ondertekende afleverbonnen en voorraadgegevens met purchase orders en Advance Shipping Notices. Ook claimt WhiteArmor 27.842 mobiele-apparaatlogs te hebben, met onder meer telefoonnummers, e-mailadressen en IMEI-nummers.
Die claims zijn ernstig als ze juist blijken te zijn. Wachtwoorden in platte tekst en hooggeprivilegieerde accounts kunnen wijzen op zwakke beveiligingspraktijken in een legacy-omgeving. Chauffeursgegevens, telefoonnummers en apparaatidentificaties kunnen bovendien bruikbaar zijn voor gerichte phishing, identiteitsmisbruik of fraudepogingen in logistieke ketens. Vooralsnog blijft echter onduidelijk welke gegevens daadwerkelijk zijn buitgemaakt en of de door WhiteArmor gepresenteerde lijst volledig of accuraat is.
Analyse: beperkte impact is positief, maar ketenrisico blijft groot
Het belangrijkste bevestigde nieuws is dat Maersk een datalek erkent, maar het incident tegelijkertijd afbakent tot een lokaal systeem zonder bekende impact op kernsystemen, klantomgevingen of partnerkoppelingen. Dat onderscheid is belangrijk. In de logistiek kunnen verstoringen van boekingssystemen, terminals, warehouseprocessen of EDI-koppelingen snel gevolgen hebben voor een bredere toeleveringsketen.
Tegelijkertijd maakt de casus duidelijk dat datalekken niet alleen uit actuele productieplatforms hoeven te komen. Overgenomen systemen, lokale installaties en oudere platforms kunnen waardevolle data bevatten en door aanvallers worden gebruikt als drukmiddel, zelfs wanneer de operationele impact beperkt blijft. Voor organisaties met veel fusies, overnames of gedecentraliseerde IT is dat een blijvend aandachtspunt.
Maersk zegt klanten te zullen informeren wanneer er meer relevante informatie beschikbaar komt of wanneer blijkt dat betrokken partijen nader moeten worden ingelicht. Het bedrijf waarschuwt ook om voorzichtig te zijn met onverwachte communicatie die naar dit incident verwijst en dergelijke berichten via de gebruikelijke Maersk-contacten te verifiëren.
Maersk heeft eerder de gevolgen van een grote cyberaanval ondervonden. In 2017 werd het concern geraakt door NotPetya, waarna meer dan 4.000 servers en 45.000 werkstations opnieuw moesten worden opgebouwd. Destijds werkte het bedrijf tien dagen zonder normale IT-voorzieningen en liep de schade op tot naar schatting 300 miljoen dollar. Er is op basis van de huidige informatie geen aanwijzing dat het nieuwe incident vergelijkbare operationele impact heeft.
Bron: bleepingcomputer.com
