Один взломанный подрядчик — утечка файлов 38 морских компаний

Коротко: группировка n0n 12 октября 2026 выложила на даркнет-сайте данные 38 морских компаний из 18 стран, установив дедлайн выплаты на 19 октября. Общая сумма требований — $1,22 млрд, от $400 тыс. до $400 млн за компанию. Исследователи Cydome проследили связь минимум 21 жертвы с одним общим поставщиком ПО — CyberLogitec — и считают, что в основе инцидента лежит не десятки отдельных взломов, а компрометация единого архива подрядчика с файлами клиентов за 2009–2026 годы.

Что случилось

Группировка n0n — относительно новый игрок на рынке кибервымогательства: первые публикации на её даркнет-ресурсе зафиксированы 18 сентября 2026 года. 12 октября она разместила список сразу из 38 организаций морской и портовой отрасли: контейнерных перевозчиков, операторов терминалов, судовых агентов и производителей оборудования — среди упомянутых изданиями имён Ocean Network Express, Santos Brasil, Pusan Newport, Eurogate Tanger и китайский производитель портового оборудования ZPMC.

Для каждой компании назначен свой дедлайн — преимущественно 19 октября 2026, 13:27 UTC — и своя сумма выкупа: от $400 млн у Ocean Network Express до $400 тыс. у самых мелких жертв списка. По данным изданий The Loadstar и SecurityLab, большинство компаний после истечения срока платить отказались, и их данные были опубликованы на утечном ресурсе целиком.

Не 38 взломов, а один общий архив

Ключевая деталь инцидента — в его механике. Команда исследователей морской кибербезопасности Cydome изучила образцы выложенных файлов и установила: минимум 21 из 38 организаций — публично подтверждённые клиенты южнокорейской CyberLogitec, разработчика ПО и ИТ-услуг для морской логистики. Семь образцов имён файлов в утечке напрямую содержат название вендора или его продуктов.

Это значит, что n0n, скорее всего, не взламывал каждую компанию отдельно, а получил доступ к одному общему хранилищу подрядчика и разбил файлы по клиентам задним числом — создав иллюзию 38 независимых инцидентов и 38 отдельных поводов для выкупа с одного и того же массива данных.

Что было в утёкших файлах

По описанию Cydome и SecurityLab, образцы утечки включают:

• сообщения в формате EDI — машиночитаемые документы обмена логистическими данными между компаниями;
• списки пользователей внутренних систем с паролями;
• контактные данные сотрудников и партнёров;
• сведения о внутренней ИТ-инфраструктуре подрядчика и клиентов.

Диапазон дат в файлах — с 2009 по август 2026 года, то есть утечка охватывает архив, который подрядчик копил и хранил годами, а не единоразовую выгрузку. Шифрования систем (как при классических атаках вымогателей) в этом случае не зафиксировано: это кража данных с последующим вымогательством под угрозой публикации.

Что делать компаниям, которые пользуются общими ИТ-подрядчиками

1. Уточните у подрядчиков файлового обмена и логистического ПО, как долго они хранят ваши архивы и EDI-сообщения — и настаивайте на регулярной очистке устаревших данных.
2. Смените пароли и ключи доступа, которые могли попасть в переписку или конфигурационные файлы, переданные подрядчику за последние годы.
3. Проверьте, не входит ли ваша компания в список клиентов пострадавшего вендора — утечки такого рода обычно сопровождаются публичными списками у исследователей вроде Cydome.
4. Закладывайте разбор рисков общих подрядчиков в собственную модель угроз: инцидент — не редкость, а повторяющийся паттерн атак на цепочку поставок, рядом с которым часто упоминают NotPetya 2017 года.

Базовые практики защиты от подобных сценариев — в нашем материале кибербезопасность в разработке, а типовые уязвимости на стороне подрядчиков и партнёрских веб-сервисов разобраны в статье безопасность веб-приложений. Общий чек-лист по работе с чужими файлами — в разделе безопасность файлов.

Источники

• Cydome — анализ инцидента и связь с CyberLogitec
• SecurityLab — «Пираты XXI века… требуют миллиарды за файлы»
• The Loadstar — Cyber-crime group hits 38 shipping and port groups