La naviera danesa Maersk confirmó el 11 de noviembre, en un aviso publicado en su web, que un atacante había extraído datos de un sistema local heredado de una empresa adquirida. El grupo WhiteArmor, que afirma haber atacado la plataforma de la antigua LF Logistics, reclama 5 millones de dólares en bitcoins. Maersk asegura que el incidente está acotado y no afecta a sus operaciones, pero el caso ilustra un riesgo a menudo subestimado: los sistemas informáticos heredados en una adquisición.
Lo que reconoce Maersk
Según BleepingComputer, Maersk confirmó que un actor malicioso se había introducido en los sistemas de una empresa que había adquirido y había extraído datos de ellos. La investigación continúa. Por ahora, según la compañía, no se ha divulgado ningún dato sensible, y el incidente se limita a un sistema local, sin repercusión en sus demás sistemas ni en los de los clientes y socios conectados por API o por EDI, el intercambio electrónico de documentos comerciales.
El grupo afirma no prever ninguna interrupción: los clientes pueden seguir reservando y siguiendo sus envíos. Maersk no ha precisado ni la fecha de la intrusión ni la naturaleza de los datos afectados, y promete ir informando a sus clientes a medida que avance.
Según WhiteArmor, el sistema atacado es la plataforma OCF/LF Logistics, que vincula a la rama de logística por contrato del grupo. Maersk compró LF Logistics en 2022 al grupo Li & Fung, que fue su diseñador original.
Lo que reivindica WhiteArmor
El medio danés Ingeniøren detalló el 10 de noviembre las afirmaciones publicadas por el grupo en su sitio de filtraciones. WhiteArmor dice haber robado unos 100 GB de datos, entre ellos:
- 29.297 perfiles de conductores, 16.093 de ellos con una contraseña almacenada en texto plano;
- 16.123 cuentas de empleados, incluidas 33 cuentas de superadministrador;
- los nombres y direcciones de 18.913 destinatarios de entregas y 64.665 comprobantes de entrega firmados;
- 14,44 millones de líneas de inventario de almacén, 189.248 órdenes de compra y 334.432 avisos de envío;
- 27.842 registros de dispositivos móviles con números de teléfono, direcciones de correo electrónico e identificadores IMEI.
Estas cifras no se han verificado de forma independiente: Ingeniøren no pudo autenticar una captura que mostraba cuentas y contraseñas. El grupo exige unos 5 millones de dólares en bitcoins, lo que según él equivale a cuatro horas de beneficio de Maersk, y amenaza con publicar los datos si no se paga. La cuenta atrás que muestra su sitio expira el 7 de diciembre.
Un robo de datos más que un ransomware
WhiteArmor es un grupo reciente y poco conocido. Ingeniøren informa de que busca abiertamente reclutar cómplices internos en grandes empresas a cambio de dinero, y de que también reivindica robos en Unilever y Hisense. Consultado por el medio, Thomas Wilkans, responsable de investigación e inteligencia de amenazas en Lab-1, considera creíble la reivindicación. Ve en ello probablemente una simple exfiltración más que un ataque de ransomware, ya que los sistemas de Maersk no parecen cifrados. Nada indica, según él, que un empleado haya sido cómplice.
El contraste con 2017 es evidente. Aquel año, recuerda BleepingComputer, el ataque NotPetya obligó a Maersk a reconstruir más de 4.000 servidores y 45.000 puestos de trabajo, con un coste estimado de hasta 300 millones de dólares.
Qué cambia para las empresas
Para los socios y destinatarios de entregas, el riesgo inmediato es el phishing dirigido. Nombres, direcciones y números de teléfono vinculados a entregas reales permiten redactar mensajes creíbles. Maersk recomienda tratar con prudencia cualquier comunicación inesperada sobre el asunto y verificarla con el interlocutor habitual. A los conductores cuya contraseña se hubiera almacenado en texto plano les conviene cambiarla allí donde la hayan reutilizado.
Para cualquier empresa que crece mediante adquisiciones, la lección es más amplia. Una plataforma adquirida suele seguir funcionando con sus propias prácticas, como el almacenamiento de contraseñas en texto plano que reivindica aquí el atacante, aunque ahora lleve el nombre y la reputación del comprador. Inventariar estos sistemas heredados, alinearlos con la política de seguridad del grupo o retirarlos forma parte de la integración, al igual que la contabilidad.
Preguntas frecuentes
¿Afecta esta filtración a los clientes de Maersk?
Según Maersk, el incidente se limita a un sistema local heredado de una adquisición, que WhiteArmor presenta como la plataforma de LF Logistics, sin impacto en los sistemas de los clientes conectados por API o EDI. No obstante, la investigación sigue en curso y la empresa promete informarles si fuera necesario.
¿Quién es WhiteArmor?
Un grupo de extorsión reciente, que publica a sus víctimas en un sitio de filtraciones, reivindica también Unilever y Hisense y busca comprar accesos a empleados de grandes empresas, según Ingeniøren.
¿Qué hacer si se recibe un mensaje que menciona este caso?
No hacer clic ni responder directamente, y verificar la solicitud con el contacto habitual en Maersk, como recomienda la empresa.
Fuentes
- Maersk confirms data breach as WhiteArmor ransomware demands $5 million — BleepingComputer, 2026-11-11
- IT security incident — Maersk (aviso oficial), 2026-11-11
- Mærsk ramt af datalæk: Hackere hævder at have adgang til kundedata — Ingeniøren, 2026-11-10