Maersk confirme une brèche, WhiteArmor exige 5 M$

Ce qui s'est passé

Le géant danois du transport maritime Maersk a confirmé avoir été victime d'une nouvelle cyberattaque, la deuxième incident majeur en moins de dix ans pour l'entreprise. Selon les informations disponibles, des attaquants ont réussi à s'introduire dans un système informatique hérité de l'acquisition de LF Logistics, opération d'achat de la filiale logistique hongkongaise réalisée en 2022 pour environ 3,6 milliards de dollars. Maersk a indiqué que son équipe de cybersécurité avait détecté l'intrusion et procédé immédiatement à la sécurisation du système compromis.

Le groupe de ransomware WhiteArmor s'est attribué la responsabilité de l'attaque. Dans un message publié sur son portail d'extorsion, le groupe revendique le vol de près de 100 gigaoctets de données issues des plateformes OCF/LF Logistics de Maersk. La demande de rançon s'élève à 5 millions de dollars en bitcoin, avec un ultimatum de 30 jours pour que l'entreprise entre en contact avec les cybercriminels. WhiteArmor est un groupe relativement récent dans le paysage des ransomwares, mais qui se distingue déjà par des demandes élevées ciblant des entreprises à forte notoriété internationale.

Parmi les données présumément exfiltrées, WhiteArmor revendique une liste de plus de 16 000 mots de passe de conducteurs qui seraient stockés en clair dans les systèmes concernés. Cette affirmation, si elle se confirme, représenterait une violation grave des bonnes pratiques de sécurité : le stockage de mots de passe en texte brut est une faute technique majeure qui permet à tout attaquant ayant accès à la base de données de récupérer immédiatement l'ensemble des identifiants. D'autres sources avancent également l'exfiltration de près de 18 913 enregistrements incluant des noms complets et des adresses résidentielles de destinataires de livraisons.

Maersk a démenti que des données sensibles aient été exposées, indiquant que ses conclusions préliminaires « suggèrent fortement qu'aucune donnée sensible n'a été divulguée ». Cette formulation prudente contraste avec les affirmations des cybercriminels. L'entreprise n'a officiellement confirmé ni l'identité des attaquants, ni le lien précis avec LF Logistics, ni le volume exact des données potentiellement compromises. L'enquête est toujours en cours au moment de la publication de cet article.

Du point de vue opérationnel, Maersk a insisté sur le fait que ses activités principales de transport de conteneurs restaient intactes. Aucune perturbation des services clients, des flux de réservation ou des systèmes de gestion portuaire n'a été signalée. L'incident semble circonscrit à un environnement legacy spécifique, distinct des systèmes de production principaux. Les premières analyses de chercheurs en sécurité indépendants confirment cette évaluation et ne font état d'aucun impact observable sur les opérations maritimes mondiales de l'entreprise.

La temporalité de l'incident reste floue. Les premières publications de WhiteArmor datent de début novembre 2026, mais le début de l'intrusion reste indéterminé. Cette incertitude est caractéristique des attaques ciblant des systèmes hérités : les acteurs malveillants maintiennent souvent un accès persistant pendant plusieurs semaines ou mois avant de déclencher une phase d'extorsion visible. Les systèmes issus d'acquisitions sont particulièrement exposés car ils sont fréquemment moins bien surveillés, avec des configurations de journalisation insuffisantes et des politiques de gestion des accès non harmonisées avec les standards de la maison mère.

Ce n'est pas la première fois que Maersk est confronté à une cyberattaque de grande ampleur. En juin 2017, l'entreprise avait été l'une des victimes les plus durement touchées par l'attaque NotPetya, attribuée au groupe militaire russe Sandworm. Cet incident avait causé des dommages estimés à 300 millions de dollars et avait paralysé pendant plusieurs jours l'ensemble des opérations mondiales du groupe, depuis les terminaux portuaires jusqu'aux systèmes de réservation. La résilience opérationnelle affichée cette fois-ci — si elle se confirme — contraste fortement avec ce précédent catastrophique et témoigne des investissements considérables réalisés par Maersk dans sa posture de cybersécurité depuis 2017. Toutefois, la présence de systèmes legacy insuffisamment sécurisés dans le périmètre de l'entreprise montre que le chemin vers une cybersécurité complète reste long, même pour les organisations qui ont tiré les leçons d'incidents passés.

Pourquoi c'est important

L'attaque contre Maersk illustre une tendance de fond : les systèmes issus d'acquisitions constituent des angles morts de sécurité pour les grandes entreprises. Lorsqu'une organisation absorbe une filiale, elle hérite non seulement de ses actifs mais aussi de ses dettes techniques et sécuritaires. L'intégration complète de ces systèmes dans les standards de la maison mère prend parfois plusieurs années — un délai pendant lequel ces environnements constituent des cibles privilégiées pour des acteurs malveillants qui savent pertinemment que la surveillance y est moins rigoureuse. La recommandation de l'ANSSI sur ce point est claire : toute acquisition doit s'accompagner d'un audit de sécurité du périmètre acquis dans les six mois suivant l'intégration.

La revendication d'un stockage de mots de passe en clair mérite une attention particulière. Si l'affirmation de WhiteArmor se confirme, elle désignerait LF Logistics comme ayant maintenu en 2026 des pratiques de sécurité dignes du début des années 2000. Les réglementations européennes — notamment le RGPD et la directive NIS2 — imposent des mesures de sécurité proportionnées aux risques, ce qui inclut explicitement le hachage des mots de passe avec des algorithmes robustes (bcrypt, Argon2 ou PBKDF2). Une telle défaillance pourrait exposer Maersk à des sanctions significatives de la part des autorités de protection des données, indépendamment de l'impact opérationnel de l'attaque.

Pour le secteur maritime et logistique, qui dépend de systèmes informatiques interconnectés pour coordonner des flux de marchandises à l'échelle mondiale, la résilience cybersécurité est devenue un enjeu stratégique de premier plan. L'incident illustre que la réduction de la surface d'attaque passe par une gestion active des dettes techniques héritées, et non seulement par la protection des environnements de production principaux. L'Organisation maritime internationale (OMI) a d'ailleurs intégré la cybersécurité dans ses exigences de gestion de la sécurité via la résolution MSC-FAL.1/Circ.3.

La stratégie de WhiteArmor — rançon modérée ciblant une entreprise à forte réputation — est caractéristique d'une nouvelle génération de groupes ransomware qui préfèrent la pression médiatique et reputationnelle à la paralysie opérationnelle totale. En s'attaquant à un géant du shipping sans toucher à ses opérations critiques, le groupe vise un paiement rapide en exploitant l'image de marque de la victime. Cette approche chirurgicale rend la réponse plus complexe : même sans impact opérationnel, la pression pousse parfois à des décisions de paiement qui ne devraient pas être prises, et que les autorités comme Europol et le FBI déconseillent fermement.

Ce qu'il faut retenir

• WhiteArmor revendique 100 Go de données volées et exige 5 M$ — Maersk dément toute exposition de données sensibles, l'enquête est ouverte.
• Les systèmes hérités d'acquisitions (ici LF Logistics, 2022) sont des vecteurs d'attaque sous-estimés : leur intégration sécuritaire doit être prioritaire dès la phase M&A.
• Stockage de mots de passe en clair : si confirmé, une violation potentielle du RGPD exposant Maersk à des sanctions des autorités européennes de protection des données.