A.P. Moller–Maerskは、過去の買収によって引き継いだ現地のレガシーシステムに、権限のない攻撃者がアクセスし、データを持ち出したことを認めました。
同社がインシデントを公表したのは2026年11月11日です。サイバーセキュリティチームがただちに全面的な調査に着手し、影響を受けたシステムを保護したとしています。
Maerskによると、これまでの調査結果から機密データは流出していない可能性が高く、インシデントは現地のシステムに限定されています。この発表は、ランサムウェアグループ「WhiteArmor」の主張を受けたものです。同グループは週末、Torベースのデータ漏えいサイトにMaerskを掲載していました。
同グループは、ビットコインで500万米ドルを支払うよう要求し、連絡して支払うまでの期限を30日間に設定しました。WhiteArmorは、OCF/LF Logisticsプラットフォームから約100GBのデータを保有していると主張しています。このプラットフォームは、LF Logisticsが2022年にLi & Fung Groupから取得したものです。
MaerskはこのインシデントをWhiteArmorと結びつけておらず、身代金の要求も確認していません。攻撃者によると、盗んだデータセットには、約3万件のドライバー記録、平文の認証情報、33件のSUPER_ADMINアカウント、署名済みの配送受領書、在庫データ、発注書、事前出荷通知（ASN）が含まれています。
同グループはさらに、電話番号、メールアドレス、IMEI識別子を含む2万7,842件のモバイルデバイスのログも保有していると主張しています。ほかの報道では、1万6,000件を超えるドライバーのパスワードにも言及しています。
これらの主張はいずれも第三者による検証が済んでおらず、Maerskの声明でも裏付けられていません。Maerskは、侵入が起きた日付、最初のアクセス経路、持ち出されたデータの量や種類を明らかにしていません。
平文の認証情報とSUPER_ADMINアカウントが存在していたとすれば、運用面で深刻な意味を持ちます。こうした特権IDがあれば、攻撃者はテナントのデータを改ざんしたり、注文を作成・削除したり、信頼された連携を経由して侵入範囲を広げたりできる可能性があります。
攻撃者は、認証情報の収集、パスワードスプレー攻撃、データベースの一括抽出を組み合わせることがよくあります。実際に、攻撃者が侵害した政府機関のWordPressサイトで、平文のパスワードを含む1万8,566件のレコードをZIPアーカイブにまとめていた事例もありました。
合併や買収で引き継いだレガシープラットフォームは、最新のID管理、集中ログ管理、ネットワークセグメンテーションを欠いていることが多く、その分、検知までの滞留期間が長引きます。
Maerskは、ほかのMaerskのシステムや、APIおよびEDIで接続された顧客・パートナーのシステムに影響が及んだ形跡は確認されていないとしています。この点は極めて重要です。EDIやAPIの信頼関係は、物流事業者とその顧客との間で横展開（ラテラルムーブメント）の経路になり得るためです。
したがって、レガシー環境を封じ込めるには、認証情報のローテーション、セッショントークンの失効、そして買収したプラットフォームと中核ネットワークをつなぐサービスアカウントやAPIキーの見直しが必要です。今回のインシデントは、暗号化ではなくデータ窃取を軸にした恐喝へ移行する、より大きな流れも映し出しています。
攻撃者は、汎用的なユーティリティを独自開発のツールに置き換える傾向を強めています。たとえば、Trigonaのアフィリエイトは、並列ストリームと接続のローテーションを備えた独自のアップローダーを展開し、ネットワーク監視を回避しました。
信頼されたクラウドユーティリティを悪用する例もあります。AzCopyは、盗んだデータをHTTPS経由でAzure Storageに移すために使われており、持ち出しの通信を正規の業務活動に紛れ込ませます。物流やサプライチェーンの環境を守る担当者は、買収したプラットフォームを高リスクな資産として扱うべきです。
優先すべき対策は、管理者IDへのフィッシング耐性のある多要素認証の適用、平文での認証情報の保存の撤廃、レガシーホストからの外向き通信の制限、そして異常な大量読み取りやアーカイブの作成（ステージング）の探索です。
組織は、データ窃取に先行して現れる、不正なリモートアクセスツールや異常なカーネルドライバーのインストールを監視することもできます。
Maerskは顧客に対し、このインシデントに関する想定外の連絡には注意し、普段やり取りしているMaerskの担当者を通じて確認するよう呼びかけています。恐喝キャンペーンは、パートナーを狙った標的型フィッシングへとエスカレートすることが多いためです。
1万6,000以上のSOCチームがANY.RUNを導入し、脅威調査を効率化して手作業を削減しています。チームでの利用を検討する
翻訳元: https://cyberpress.org/shipping-giant-maersk-confirms-cyberattack/
