Le transporteur maritime danois Maersk a confirmé le 11 novembre, dans incident">un avis publié sur son site, qu’un attaquant avait extrait des données d’un système local hérité d’une entreprise rachetée. Le groupe WhiteArmor, qui dit avoir frappé la plateforme de l’ex-LF Logistics, réclame 5 millions de dollars en bitcoins. Maersk assure que l’incident est circonscrit et sans effet sur ses opérations, mais l’affaire illustre un risque souvent sous-estimé : les systèmes informatiques récupérés lors d’une acquisition.
Ce que Maersk reconnaît
D’après BleepingComputer, Maersk a confirmé qu’un acteur malveillant s’était introduit dans les systèmes d’une société qu’il avait acquise et en avait extrait des données. L’enquête se poursuit. À ce stade, selon l’entreprise, aucune donnée sensible n’a été divulguée, et l’incident se limite à un système local, sans répercussion sur ses autres systèmes ni sur ceux des clients et partenaires connectés par API ou par EDI, les échanges informatisés de documents commerciaux.
Le groupe dit ne prévoir aucune perturbation : les clients peuvent continuer à réserver et suivre leurs expéditions. Maersk n’a précisé ni la date de l’intrusion ni la nature des données concernées, et promet d’informer ses clients au fur et à mesure.
Selon WhiteArmor, le système visé est la plateforme OCF/LF Logistics, qu’il rattache à la branche de logistique contractuelle du groupe. Maersk a racheté LF Logistics en 2022 au groupe Li & Fung, qui en était le concepteur d’origine.
Ce que revendique WhiteArmor
Le média danois Ingeniøren a détaillé, le 10 novembre, les affirmations publiées par le groupe sur son site de fuite. WhiteArmor dit avoir dérobé environ 100 Go de données, parmi lesquelles :
- 29 297 profils de chauffeurs, dont 16 093 avec un mot de passe stocké en clair ;
- 16 123 comptes d’employés, dont 33 comptes de super-administrateur ;
- les noms et adresses de 18 913 destinataires de livraisons et 64 665 preuves de livraison signées ;
- 14,44 millions de lignes d’inventaire d’entrepôt, 189 248 bons de commande et 334 432 avis d’expédition ;
- 27 842 journaux d’appareils mobiles contenant numéros de téléphone, adresses électroniques et identifiants IMEI.
Ces chiffres n’ont pas été vérifiés de façon indépendante : Ingeniøren n’a pas pu authentifier une capture montrant des comptes et des mots de passe. Le groupe exige environ 5 millions de dollars en bitcoins, soit selon lui l’équivalent de quatre heures de bénéfice de Maersk, faute de quoi il menace de publier les données. Le compte à rebours affiché sur son site expire le 7 décembre.
Un vol de données plutôt qu’un rançongiciel
WhiteArmor est un groupe récent et peu connu. Ingeniøren rapporte qu’il cherche ouvertement à recruter des complices internes dans de grandes entreprises, contre rémunération, et qu’il revendique aussi des vols chez Unilever et Hisense. Interrogé par le média, Thomas Wilkans, responsable de la recherche et du renseignement sur les menaces chez Lab-1, juge la revendication crédible. Il y voit probablement une simple exfiltration plutôt qu’une attaque par rançongiciel, les systèmes de Maersk ne semblant pas chiffrés. Rien n’indique, selon lui, qu’un employé ait été complice.
Le contraste avec 2017 est net. Cette année-là, rappelle BleepingComputer, l’attaque NotPetya avait forcé Maersk à reconstruire plus de 4 000 serveurs et 45 000 postes de travail, pour un coût estimé jusqu’à 300 millions de dollars.
Ce que cela change pour les entreprises
Pour les partenaires et destinataires de livraisons, le risque immédiat est l’hameçonnage ciblé. Des noms, adresses et numéros de téléphone liés à de vraies livraisons permettent de rédiger des messages crédibles. Maersk recommande de traiter avec prudence toute communication inattendue sur le sujet et de la vérifier auprès de son interlocuteur habituel. Les chauffeurs dont le mot de passe aurait été stocké en clair ont intérêt à le changer partout où ils l’ont réutilisé.
Pour toute entreprise qui grandit par acquisitions, la leçon est plus large. Une plateforme rachetée continue souvent de tourner avec ses propres pratiques, comme le stockage de mots de passe en clair que revendique ici l’attaquant, alors qu’elle porte désormais le nom et la réputation de l’acquéreur. Inventorier ces systèmes hérités, les aligner sur la politique de sécurité du groupe ou les retirer fait partie de l’intégration, au même titre que la comptabilité.
Questions fréquentes
Les clients de Maersk sont-ils touchés par cette fuite ?
Selon Maersk, l’incident est limité à un système local hérité d’une acquisition, que WhiteArmor présente comme la plateforme de LF Logistics, sans impact sur les systèmes des clients connectés par API ou EDI. L’enquête est toutefois en cours et l’entreprise promet de les informer si nécessaire.
Qui est WhiteArmor ?
Un groupe d’extorsion récent, qui publie ses victimes sur un site de fuite, revendique aussi Unilever et Hisense et cherche à acheter des accès auprès d’employés de grandes entreprises, d’après Ingeniøren.
Que faire si l’on reçoit un message évoquant cette affaire ?
Ne pas cliquer ni répondre directement, et vérifier la demande auprès de son contact habituel chez Maersk, comme le recommande l’entreprise.
Sources
- Maersk confirms data breach as WhiteArmor ransomware demands $5 million — BleepingComputer, 2026-11-11
- IT security incident — Maersk (avis officiel), 2026-11-11
- Mærsk ramt af datalæk: Hackere hævder at have adgang til kundedata — Ingeniøren, 2026-11-10