Maersk bevestigt data-extractie uit lokaal legacy-systeem

Maersk bevestigt op 11 november dat een aanvaller data uit één lokaal legacy-systeem van een eerdere overname heeft gehaald; het bedrijf ziet voorlopig geen aanwijzingen voor bredere impact en verwacht geen verstoring van klantoperaties.

Na een overname kunnen lokale toepassingen en koppelingen buiten het centrale IT-overzicht blijven. Daardoor kan het hoofdsysteem beschikbaar zijn terwijl een oudere omgeving nog data verwerkt. Voor een Nederlandse koper of leverancier wordt de eigenaar van die applicatie, de gegevens en de toegangspaden een concrete beheervraag.

Maersk meldt één lokaal getroffen systeem

Maersk zegt dat zijn cyberteam het getroffen systeem na ontdekking heeft beveiligd en een onderzoek is gestart. De eerste bevindingen wijzen er volgens het bedrijf sterk op dat geen gevoelige gegevens zijn vrijgegeven. Het meldt geen aanwijzingen voor impact op andere Maersk-systemen of op systemen van klanten en partners die via API’s en EDI zijn gekoppeld. Klanten kunnen de digitale platforms volgens de verklaring blijven gebruiken om boekingen en zendingen te beheren.

De data-extractie staat daarmee los van de vraag of gevoelige informatie openbaar is gemaakt; dat is niet vastgesteld. De verklaring is voorlopig en het onderzoek loopt nog.

WhiteArmor claimt data uit LF Logistics

BleepingComputer meldt dat WhiteArmor ongeveer 100 gigabyte van het OCF/LF Logistics-platform zegt te hebben buitgemaakt en vijf miljoen dollar in bitcoin eist. Dat is de lezing van de afpersgroep, geen vastgesteld volume of bevestigde herkomst. Container News meldt dat de echtheid en omvang van de beweerde buit niet onafhankelijk zijn vastgesteld.

Maersk heeft de identiteit van de aanvaller, het overgenomen bedrijf, de getroffen gegevenssoorten en het tijdstip van toegang niet genoemd. De melding begrenst de betrokken omgeving tot één systeem, maar geeft nog geen inventaris van de gegevens die daaruit zijn gegaan. De bevestigde toegang en de onbevestigde herkomst van WhiteArmors dataset blijven afzonderlijke feiten.

Een overname brengt oude systemen mee

Maersk rondde de overname van LF Logistics in 2022 af. Het bedrijf meldde toen dat 223 magazijnen aan het netwerk werden toegevoegd, waarmee het totaal op 549 kwam. Die cijfers schetsen de omvang van de overgenomen logistieke operatie, maar bewijzen niet dat het systeem uit Maersks melding van LF Logistics komt. De eigen incidentverklaring legt die koppeling niet.

Een vergelijkbare overnamekwestie speelde bij Marriott en Starwood. De FTC stelt dat Marriott na de overname van Starwood in 2016 verantwoordelijk werd voor diens beveiliging. Een tweede inbraak, die rond juli 2014 begon, bleef tot september 2018 onopgemerkt en gaf toegang tot 339 miljoen Starwood-gastrecords. Dat is een ander incident en een andere schaal. Het laat wel zien waarom een transactie oude netwerkgrenzen, accounts en gegevensbestanden mee kan brengen die na de juridische overdracht nog aandacht vragen.

Een Nederlands voorbeeld maakt de zichtbaarheid van die systemen concreet. Bij het OM waren NetScaler-logbestanden tijdens de Citrix-inbraak niet aangesloten op monitoring. De commissie kon daardoor niet alle activiteiten van de aanvaller reconstrueren. Dat zegt niets over de monitoring bij Maersk, maar maakt duidelijk waarom een organisatie haar systeemgrenzen en logdekking moet kunnen aantonen.

Maersks eerdere aanval had een andere schaal

In 2017 trof de NotPetya-aanval meerdere grote onderdelen van Maersk. In het kwartaalrapport raamde het bedrijf de financiële impact op 200 tot 300 miljoen dollar; de volumes bij Maersk Line, APM Terminals en Damco stonden weken onder druk. Het was een brede operationele ontwrichting. Een stroomstoring hield in Ghana de enige overgebleven domeincontroller buiten de NotPetya-infectie, die de basis vormde voor het herstel van Maersks netwerk.

De huidige melding beschrijft iets anders: data is uit een lokaal legacy-systeem gehaald, terwijl Maersk vooralsnog geen operationele verstoring of impact op verbonden klant- en partnersystemen meldt. De twee incidenten zijn niet vergelijkbaar in omvang of gevolg. Samen laten ze wel zien dat continuïteit en databeveiliging langs verschillende systeemgrenzen lopen. Een bedrijf kan logistieke dienstverlening blijven leveren en tegelijk nog moeten vaststellen welke informatie een oud systeem heeft verwerkt.

De komende updates moeten daarom vooral de open punten sluiten: welke overgenomen omgeving is geraakt, welke gegevens zijn geëxtraheerd en of betrokkenen moeten worden geïnformeerd. De voorlopige grens ligt bij één lokaal systeem; een eindrapport is er nog niet. Voor bedrijven die systemen na een overname behouden, ligt de betekenis in de aansluiting tussen inventaris, toegang, logging en data-eigenaarschap. Die aansluiting bepaalt of een oude applicatie alleen lokaal staat, of ook buiten beeld gegevens kan afgeven.