Maersk : des données extraites d'un système hérité d'une acquisition, WhiteArmor réclame 5 millions de dollars

· Par Edouard Schlumberger
👈 les autres actualités

Le 11 novembre 2026, A.P. Moller - Maersk a annoncé un accès non autorisé et une extraction de données sur « l'un de [ses] systèmes locaux hérités d'une acquisition passée ». Le week-end précédent, selon BleepingComputer, le groupe WhiteArmor avait inscrit l'armateur danois sur son site de fuite et réclamé 5 millions de dollars. Pour un DPO, le cas pose une question très concrète : les systèmes des sociétés rachetées figurent-ils vraiment dans le registre et dans le périmètre de sécurité ?

Ce qui s'est passé

Dans son communiqué, Maersk indique que son équipe de cybersécurité a lancé une enquête complète dès la découverte de l'incident, toujours en cours, et a sécurisé le système touché. Selon l'entreprise, ses constats « suggèrent fortement » qu'aucune donnée sensible n'a été divulguée, l'incident est circonscrit à ce système local, et rien n'indique d'impact sur les autres systèmes de Maersk ni sur ceux des clients et partenaires connectés par API ou EDI. Maersk n'anticipe pas de perturbation des opérations et s'engage à informer les parties concernées si l'enquête le justifie.

Maersk ne nomme ni le système, ni l'auteur, ni les types de données, ni la date de l'intrusion. Selon BleepingComputer, WhiteArmor revendique environ 100 Go de données issues de la plateforme OCF/LF Logistics, et donne 30 jours pour payer en bitcoin. Maersk a racheté LF Logistics au groupe Li & Fung en 2022, mais n'a pas confirmé ce lien. D'après les attaquants, les données comprendraient près de 30 000 fiches de chauffeurs, des mots de passe stockés en clair, 33 comptes de super-administrateur et des bons de livraison signés. Security Affairs rapporte en outre 27 842 journaux d'appareils mobiles avec numéros de téléphone, adresses électroniques et numéros IMEI revendiqués. Aucune de ces affirmations n'a été vérifiée de façon indépendante.

Pourquoi c'est important

« Pas de donnée sensible » n'est pas « pas de donnée personnelle ». Des fiches de chauffeurs ou des coordonnées de destinataires, si elles étaient confirmées, relèveraient du RGPD sans être des données sensibles au sens de l'article 9. Le seuil de l'article 33 du RGPD est le risque pour les personnes : la notification à l'autorité de contrôle se fait dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque. L'information des personnes, elle, dépend d'un risque élevé (article 34), et des mots de passe en clair, s'ils étaient avérés, pèseraient lourd dans cette appréciation.

Le second enjeu est l'article 32 : la sécurité doit être adaptée au risque sur tous les traitements, y compris ceux d'une filiale absorbée que personne n'a migrés. Un système hérité garde souvent ses propres comptes à privilèges, sa propre politique de mots de passe et ses propres données, hors des outils et des revues du groupe. La menace de publication sert ici de levier, comme dans la double extorsion de Rhysida contre l'administration berlinoise : l'organisation doit arbitrer avant de savoir précisément ce qui a été pris.

Ce que ça change pour les organisations

  • Vérifier que le registre des traitements couvre les applications des sociétés rachetées, et pas seulement celles du groupe : un système « local » reste un traitement dont le groupe peut être responsable.
  • Dans toute acquisition, inscrire au plan d'intégration une date de migration ou de décommissionnement de chaque système hérité, avec un propriétaire nommé.
  • Recenser les comptes à privilèges de ces systèmes et vérifier le stockage des mots de passe : un hachage robuste, jamais du clair.
  • Préparer l'arbitrage de notification sur une revendication non confirmée : documenter ce qui est établi, ce qui ne l'est pas, et l'heure de prise de connaissance, qui fait courir les 72 heures. Le guide de Leto sur les violations de données détaille la marche à suivre.
  • Prévenir les équipes et les clients que des messages frauduleux peuvent exploiter l'incident, comme le fait Maersk dans son communiqué.

Ce que Leto en pense

Rien ne dit à ce stade que Maersk a failli, et l'entreprise a communiqué publiquement. Mais l'incident rappelle qu'un actif qu'on n'inventorie pas ne se protège pas : la mesure 5.9 de l'annexe A d'ISO/IEC 27001:2022 (inventaire des informations et autres actifs associés) et la mesure 8.2 (droits d'accès privilégiés) sont précisément celles qu'une intégration post-acquisition met à l'épreuve. Le registre RGPD est souvent le premier inventaire à jour d'une organisation, et c'est la partie de votre SMSI ISO 27001 que Leto tient déjà : registre, sous-traitants, questionnaires de sécurité. Pour voir comment, demandez une démo.

Sources

Restez connecté(e).

Téléchargez notre application mobile de veille RGPD, Intelligence Artificielle et Cybersécurité. 
100% gratuite. 
Je télécharge

Discutons ensemble - et voyons comment Leto peut vous simplifier votre quotidien

Demander une démo