Maersk подтвердила инцидент в локальной устаревшей IT-системе, доставшейся компании после одного из прошлых приобретений. Злоумышленник получил несанкционированный доступ и выгрузил данные. По предварительным данным, чувствительная информация не раскрыта, но расследование продолжается, а затронутую систему изолировали.
Как сообщает Maersk, инцидент не затронул другие системы компании и не повлиял на интеграции с клиентами и партнёрами, включая API и EDI. Операционных сбоев компания не ожидает: бронирование и управление перевозками продолжают работать в обычном режиме.
Отдельно о произошедшем высказалась группа WhiteArmor: она заявила о краже около 100 ГБ данных и потребовала 5 млн долларов. Maersk эти цифры не подтверждает и не связывает заявление вымогателей с инцидентом. Проверка продолжается, публичных сроков завершения расследования компания не называет.
Для клиентов практический риск пока ограничен: Maersk не просит менять пароли или API-ключи. Но если организация вела дела через локальную систему приобретённой компании, стоит проверить, какие данные туда передавались, ограничить доступ к legacy-сервисам и убедиться, что интеграции не используют те же учётные данные. Утечка даже «нечувствительных» данных может дать достаточно контекста для следующей атаки, особенно если в системе были сведения о партнёрах и маршрутах.
Контекст важен: Maersk уже переживала крупный киберынтцидент в 2017 году, когда червь NotPetya остановил контейнерные операции и нанёс компании сотни миллионов долларов убытков. Нынешний случай выглядит иначе: пострадала не глобальная инфраструктура, а локальная система, доставшаяся вместе с приобретённой компанией. Такие активы часто остаются вне основного периметра мониторинга, хотя могут содержать данные клиентов, партнёров и старые учётные записи.
Для злоумышленников legacy-системы удобны тем, что их сложнее включить в единые политики доступа и обновлений. Если система не входит в SSO, не покрыта EDR и не попадает в централизованный журнал, факт выгрузки данных можно заметить только по косвенным признакам. Поэтому в таких случаях полезно провести инвентаризацию приобретённых активов, ограничить сетевой доступ к ним и проверить, не используются ли старые сервисные учётные записи в текущих интеграциях.
Maersk не называет ни сроки расследования, ни объём выгруженных данных. Заявление WhiteArmor о 100 ГБ и требовании 5 млн долларов остаётся неподтверждённым; компания не подтверждает связь группы с инцидентом. Пока официальная позиция сводится к тому, что утечки чувствительных данных не обнаружено, а операции продолжаются в штатном режиме.
