Группировка WhiteArmor заявила о взломе Maersk и требует $5 млн за украденные данные

Датская компания Maersk подтвердила факт несанкционированного доступа к одной из своих систем. В заявлении, опубликованном вчера на сайте, говорится, что злоумышленники проникли в «локальную устаревшую систему». При этом ни название скомпрометированного узла, ни характер украденных данных, ни точная дата инцидента не раскрываются.

В Maersk подчеркнули, что признаков распространения атаки на другие системы не обнаружено, а грузоперевозки не пострадали. Компания также заявила, что пока не видит доказательств утечки какой-либо чувствительной информации. Ответственность за взлом взяла на себя группировка WhiteArmor, которая уже добавила Maersk на свой сайт утечек в даркнете.

Там вымогатели требуют выкуп в размере 5 миллионов долларов США, который должен быть выплачен в течение 30 дней. Взамен они обещают не публиковать 100 ГБ данных, якобы украденных с платформы, построенной компанией LF Logistics, приобретённой Maersk в 2022 году. WhiteArmor — относительно новая группа кибервымогателей, появившаяся лишь в конце прошлого месяца.

Несмотря на это, на её сайте утечек уже значатся более десятка жертв, включая китайского производителя электроники и бытовой техники Hisense. Согласно заявлениям WhiteArmor, в украденном массиве данных содержатся почти 30 000 записей о водителях, пароли в открытом виде, заказы на поставку, предварительные уведомления об отгрузке, подписанные квитанции о доставке, а также 27 842 записи о мобильных устройствах с телефонными номерами, адресами электронной почты и IMEI-номерами. Пока Maersk не подтвердила достоверность утверждений хакеров, но уже рекомендует клиентам и партнёрам с осторожностью относиться к неожиданным сообщениям, связанным с этим инцидентом, и всегда проверять информацию через доверенные контакты в компании.

Для постоянных читателей блога Hot for Security этот случай не станет неожиданностью: Maersk уже сталкивалась с киберпреступностью. В 2017 году компания пострадала от атаки вредоносного ПО NotPetya, которая вынудила переустановить более 4000 серверов и 45 000 рабочих станций и обошлась в сумму до 300 миллионов долларов. Нынешний инцидент, судя по всему, произошёл из-за ИТ-систем, доставшихся в наследство после поглощения.

Это служит отрезвляющим напоминанием: приобретая компанию, вы получаете не только её активы, но и все её ИТ-системы вместе с дремлющими в них уязвимостями. Ситуация напоминает, что унаследованные системы могут таить в себе бреши, подобно тому как PHP2Shell: как две уязвимости в PHP поставили под удар сайты по всему миру уязвимости в PHP открывали доступ к сайтам по всему миру. Эксперты неоднократно предупреждали, что интеграция приобретённых компаний должна включать тщательный аудит безопасности, иначе старые бреши могут стать воротами для новых атак.

WhiteArmor, судя по всему, воспользовалась именно таким слабым звеном. Группировка продолжает наращивать активность: помимо Maersk и Hisense, в её списке уже более десятка организаций. Пока неизвестно, насколько серьёзны эти инциденты, но сам факт быстрого расширения портфеля жертв говорит о растущей угрозе со стороны молодых вымогательских групп.