Maersk victime d’une extorsion par rançongiciel WhiteArmor

Le géant danois du transport maritime et de la logistique A.P. Moller-Maersk a confirmé le 11 novembre 2026 avoir subi une intrusion dans un système hérité d’une acquisition antérieure. Le groupe de rançongiciels WhiteArmor a revendiqué l’attaque durant le week-end, exigeant une rançon de cinq millions de dollars en bitcoin sous trente jours, sous peine de publier environ cent gigaoctets de données prétendument exfiltrées.

L’incident porte sur la plateforme OCF/LF Logistics, développée à l’origine par LF Logistics, que Maersk a rachetée au groupe Li & Fung en 2022. Selon Maersk, les investigations en cours indiquent fortement qu’aucune donnée sensible n’a été divulguée. L’entreprise affirme que l’attaque est cantonnée à un système local, sans impact sur les autres systèmes du groupe ni sur les plateformes clients et partenaires connectées via API ou EDI. Les opérations de réservation et de gestion des expéditions se poursuivent normalement.

La revendication de WhiteArmor décrit toutefois un butin conséquent : près de 30 000 fiches conducteurs, des mots de passe en clair, 33 comptes SUPER_ADMIN (le niveau de privilège le plus élevé sur la plateforme), des accusés de réception signés, 14,44 millions de lignes d’inventaire avec bons de commande et avis d’expédition anticipés (ASN), ainsi que 27 842 journaux d’appareils mobiles contenant numéros de téléphone, adresses électroniques et numéros IMEI. Le message des attaquants fait explicitement référence à l’activité contract-logistics de l’ancien LF Logistics, estimant que cinq millions de dollars représentent environ quatre heures d’EBITDA de cette division.

Cette intrusion ravive le traumatisme de 2017, lorsque le rançongiciel destructeur NotPetya, attribué au groupe russe Sandworm (GRU), avait paralysé Maersk pendant dix jours. La reconstruction avait nécessité le déploiement de 4 000 serveurs, 45 000 postes de travail et 2 500 applications, pour un coût estimé à 300 millions de dollars. Le président de l’époque, Jim Hagemann Snabe, avait décrit cet effort comme l’une des reconstructions informatiques les plus rapides de l’histoire. En 2020, Maersk avait licencié environ 150 membres de son centre de commande et de contrôle de Maidenhead, au Royaume-Uni, dont plusieurs avaient joué un rôle clé dans la reprise d’activité.

Le positionnement de Maersk dans cette nouvelle affaire tranche radicalement avec 2017 : l’entreprise communique rapidement, isole le système compromis, rassure ses clients sur la continuité des opérations et nie toute fuite de données sensibles. WhiteArmor, groupe de rançongiciels apparu récemment, utilise la tactique désormais standard de la double extorsion : chiffrement des systèmes et menace de publication des données volées. Le délai de trente jours accordé pour le paiement laisse une fenêtre de négociation, mais la publication de l’échantillon de données sur le site de fuite du gang sert de levier de pression.

L’enquête se poursuit pour déterminer le vecteur d’intrusion initial, l’étendue réelle de l’exfiltration et les éventuelles responsabilités dans la sécurisation du système hérité. Maersk s’est engagée à informer ses clients dès que de nouvelles informations pertinentes seront disponibles, et appelle à la vigilance face aux communications inattendues liées à cet incident.

Sources : BleepingComputer, The Register