Утечка данных Maersk началась с локальной устаревшей системы, доставшейся перевозчику после поглощения другой компании. Maersk подтвердила несанкционированный доступ, а группировка WhiteArmor требует за молчание 5 млн долларов и заявляет о краже примерно 100 ГБ информации. Для IT-команд это очередное напоминание: после M&A в инфраструктуру приходит не только новый бизнес, но и чужой технический долг с неизвестным сроком годности.
Как сообщает BleepingComputer, инцидент затронул систему, которую Maersk получила вместе с ранее приобретённой компанией. Датский логистический холдинг утверждает, что атака изолирована: признаков воздействия на остальные системы Maersk, а также на интеграции клиентов и партнёров через API и EDI пока не обнаружено. Бронирование и управление перевозками продолжают работать в штатном режиме.
Компания не раскрыла, когда именно произошёл взлом, какую систему скомпрометировали и какие типы данных в ней хранились. В официальном сообщении Maersk также говорит, что на текущем этапе расследования не видит подтверждений раскрытия чувствительных данных. Это осторожная формулировка: она не опровергает заявления атакующих о выгрузке данных, а лишь фиксирует, что компания ещё не установила факт их публикации или дальнейшего использования.
WhiteArmor добавила Maersk на свой сайт утечек в выходные и отвела компании 30 дней на контакт и оплату в биткоинах. В публичном обращении преступники привязали требование к контрактной логистике Maersk — бывшей LF Logistics, которая обслуживает крупных потребительских брендов. Maersk приобрела LF Logistics у Li & Fung Group в 2022 году; именно с платформой OCF/LF Logistics группировка связывает похищенные данные.
Список предполагаемой добычи выглядит неприятно даже с поправкой на привычную для вымогателей рекламу собственных успехов. WhiteArmor утверждает, что получила сведения почти о 30 тыс. водителей, пароли в открытом виде, данные 33 учётных записей SUPER_ADMIN, подписанные подтверждения доставки и записи по запасам, заказам на закупку и предварительным уведомлениям об отгрузке. Отдельно заявлены 27 842 журнала мобильных устройств с номерами телефонов, адресами электронной почты и IMEI.
Если хотя бы часть этих сведений подтвердится, риск не сводится к штрафам и неприятным письмам клиентам. Пароли в открытом виде могут открыть дорогу к повторному доступу в старые сервисы, особенно если сотрудники или подрядчики использовали одинаковые комбинации в нескольких системах. Данные о водителях, поставках и подписанных накладных удобны для целевого фишинга, подделки коммуникаций и мошенничества в цепочках поставок. Maersk уже предупредила клиентов с осторожностью относиться к неожиданным сообщениям, якобы связанным с инцидентом, и перепроверять их через привычные каналы связи.
Утечка данных Maersk особенно чувствительна из-за масштаба группы. A.P. Moller–Maersk работает в 130 странах, располагает примерно 700 контейнерными судами, 60 терминалами в 35 странах и штатом около 100 тыс. человек. По данным компании, за прошлый год её выручка составила 54 млрд долларов, а чистая прибыль — 2,9 млрд. При таких размерах даже изолированный локальный контур может оказаться точкой входа в запутанную сеть подрядчиков, пользователей и исторических интеграций.
У Maersk есть болезненный опыт подобных атак. В 2017 году компания пострадала от NotPetya, на десять дней фактически лишилась ИТ-инфраструктуры и была вынуждена заново развернуть более 4 тыс. серверов и 45 тыс. рабочих станций. Оценка ущерба тогда доходила до 300 млн долларов. Нынешний случай пока не похож на тотальный отказ, но контраст показателен: восстановить современный основной контур недостаточно, если в периметре остаются унаследованные системы приобретённых активов.
Для разработчиков и руководителей безопасности здесь нет экзотической морали. После сделки по покупке бизнеса нужно инвентаризировать не только домены, лицензии и облачные счета, но и локальные серверы, привилегированные учётные записи, хранилища секретов, интеграции и журналы доступа. Утечка данных Maersk ещё расследуется, и заявления WhiteArmor не подтверждены независимо. Но вопрос уже практический: сколько подобных «локальных» систем в крупных компаниях всё ещё существуют лишь потому, что их никто не включил в план миграции или вывода из эксплуатации?