n0n Ransomware : 38 compagnies maritimes frappées via CyberLogitec

Les faits

Dans la nuit du 11 au 12 octobre 2026, le groupe ransomware et d'extorsion de données n0n a publié sur son portail darkweb une liste de 38 victimes appartenant au secteur maritime mondial. Parmi elles figurent des opérateurs de terminaux portuaires, des armateurs, des transitaires et des fournisseurs de services logistiques répartis sur plusieurs continents. La publication simultanée d'autant de victimes dans un seul lot attire immédiatement l'attention des chercheurs en sécurité.

L'analyse de la liste effectuée par la société israélienne CyDome, spécialisée en cybersécurité maritime, révèle un point commun : environ la moitié des organisations répertoriées sont des clients connus de CyberLogitec, une entreprise sud-coréenne qui développe et opère des plateformes logicielles pour la gestion de terminaux à conteneurs, la planification de navires, et l'échange de données EDI (Electronic Data Interchange) dans le secteur maritime. Cette concentration géographique et technologique autour d'un fournisseur commun suggère fortement une attaque de type supply chain plutôt que 38 intrusions indépendantes.

n0n est un groupe particulièrement récent : ses premières activités documentées remontent à mi-août 2026, soit moins de deux mois avant cette publication massive. Malgré sa jeunesse, le groupe démontre une sophistication opérationnelle notable. Sa méthode privilégie l'exfiltration de données sensibles comme levier d'extorsion plutôt que le chiffrement traditionnel, une tendance croissante dans l'écosystème cybercriminel de 2026.

Les données dont n0n prétend disposer concernent des informations hautement stratégiques pour le commerce maritime mondial : messages EDI entre partenaires commerciaux, manifestes de cargaison détaillés, enregistrements de portiques et échanges d'équipements dans les terminaux, données de configuration des systèmes de gestion de terminaux (TOS), documents de mainlevée, et du matériel de déploiement lié aux systèmes d'exploitation maritime. Ce type de données représente non seulement une valeur commerciale importante, mais aussi une menace potentielle pour la sécurité nationale si des cargaisons sensibles ou des routes stratégiques sont exposées.

La société d'intelligence sur les menaces SOCRadar, qui a analysé les revendications en parallèle de CyDome, appelle à la prudence : les affirmations de n0n n'ont à ce jour pas été vérifiées de manière indépendante. Aucune des 38 organisations ciblées n'a publiquement reconnu une compromission de ses systèmes. SOCRadar et CyDome émettent l'hypothèse que les 38 victimes partagent un environnement logiciel commun compromis — c'est-à-dire CyberLogitec — plutôt qu'avoir fait l'objet de 38 attaques séparées. Si cette hypothèse se confirme, il s'agirait d'une attaque supply chain classique : compromettre un seul fournisseur pour atteindre des dizaines de clients en cascade.

CyberLogitec, fondée en 2000, est une filiale de HMM (Hyundai Merchant Marine), l'un des principaux armateurs sud-coréens. L'entreprise fournit ses solutions logicielles à plus de 100 clients dans le monde, incluant des terminaux à conteneurs majeurs en Asie, en Europe et aux Amériques. Un accès à son infrastructure représente donc une porte d'entrée massive sur le commerce maritime mondial. À l'heure de publication, CyberLogitec n'a fait aucune déclaration publique concernant un incident de sécurité.

Le délai de paiement fixé par n0n a expiré le 19 octobre 2026. L'absence de publication des données après l'expiration de ce délai est ambiguë : elle peut indiquer que certaines victimes ont négocié discrètement, que les données ont été vendues à des acheteurs tiers, ou que n0n cherche à maintenir une pression prolongée. Dans tous les cas, les entreprises concernées restent dans une situation d'incertitude maximale quant à l'exposition réelle de leurs données opérationnelles.

Le secteur maritime représente environ 90% du commerce mondial en volume, selon les estimations de l'Organisation Maritime Internationale. Une perturbation ou une exposition des données opérationnelles de 38 acteurs majeurs pourrait avoir des répercussions au-delà du seul préjudice immédiat des victimes : intelligence économique sur les flux de marchandises, données sur les cargaisons stratégiques, identification des vulnérabilités logistiques critiques.

Impact et exposition

Les organisations potentiellement exposées sont tous les clients de CyberLogitec utilisant ses plateformes de gestion de terminaux, d'échange EDI ou de planification de flotte. Le risque immédiat concerne la divulgation de données commercialement sensibles : contrats, cargaisons, flux financiers liés aux opérations portuaires. À moyen terme, si les configurations système ont été exfiltrées, des acteurs tiers pourraient exploiter ces connaissances pour préparer de futures attaques ciblées sur les infrastructures maritimes.

Les entreprises françaises ayant des opérations portuaires ou des partenariats avec des terminaux utilisant CyberLogitec doivent considérer ce vecteur avec attention, notamment dans le contexte de la directive NIS2 qui impose des obligations de signalement d'incident et de gestion du risque tiers.

Recommandations

• Auditer immédiatement les connexions et les accès aux systèmes CyberLogitec dans votre environnement ; identifier les données partagées et les droits accordés au fournisseur.
• Analyser les logs de transfert de données EDI des 30 derniers jours pour détecter des exfiltrations inhabituelles vers des destinations inconnues.
• Contacter directement CyberLogitec pour obtenir un état de la situation et demander un rapport d'incident si vous êtes client.
• Mettre en place une surveillance renforcée des flux réseau sortants liés aux plateformes maritimes pendant les 90 prochains jours.
• Vérifier vos obligations de notification sous NIS2 si votre organisation opère une infrastructure maritime essentielle.