Хакерская группировка n0n потребовала около $1,22 млрд у 38 компаний морской отрасли из 18 стран. Исследователи подозревают, что злоумышленники получили доступ не к десяткам независимых сетей, а к единому архиву крупного ИТ-подрядчика, обслуживающего порты и судоходные компании.
Названия предполагаемых жертв появились в даркнете 12 октября 2026 года. В список попали контейнерный перевозчик Ocean Network Express, портовые операторы Santos Brasil, Pusan Newport и Eurogate Tanger, китайский производитель портового оборудования ZPMC и десятки других организаций. Преступники назначили единый срок выплаты выкупа до 19 октября, после которого угрожали раскрыть похищенную информацию.
Специалисты обнаружили связь между предполагаемыми жертвами и южнокорейской CyberLogitec, разработчиком программного обеспечения для морской логистики. Как минимум 21 из 38 организаций числится среди клиентов компании. В опубликованных злоумышленниками образцах встречаются названия продуктов CyberLogitec, служебные документы и переписка технической поддержки. Исследователи допускают, что все материалы происходят из одного источника.
CyberLogitec разрабатывает системы OPUS Terminal и ALLEGRO, которые помогают портам управлять контейнерами, планировать погрузку судов, оформлять перевозки и рассчитывать стоимость услуг. Компания обслуживает более 150 клиентов по всему миру и предоставляет техническую поддержку. Если преступники получили доступ к общему архиву обращений и проектов, сведения сразу о десятках организаций могли оказаться в чужих руках без прямого проникновения в корпоративные сети заказчиков.
Специалисты изучили названия 85 файлов, представленных в качестве доказательств. Среди материалов обнаружились упоминания служебной переписки, инструкций по настройке систем, обновлений программ, записей о перевозках и электронных накладных. Даты документов охватывают период с 2009 года по август 2026 года. В некоторых случаях исследователи нашли одинаковые файлы в публикациях, посвящённых разным компаниям, что дополнительно указывает на возможный общий источник.
Отдельную опасность представляют предполагаемые списки пользователей с паролями, контактные данные сотрудников и сведения о внутренней инфраструктуре. Архивы также могут содержать сообщения EDI, через которые перевозчики и терминалы автоматически обмениваются информацией о грузах, контейнерах и расписаниях. Подобные документы позволяют восстановить коммерческие связи между организациями, а служебные сведения могут помочь преступникам подготовить убедительные атаки через подрядчиков.
Общий размер требований n0n достигает $1,22 млрд, причём суммы распределены крайне неравномерно. За информацию Ocean Network Express преступники запросили $400 млн, за материалы Apical Group потребовали $320 млн, за данные ZPMC назначили $160 млн, а Dongkuk Steel оценили в $100 млн. Минимальное требование составляет $400 тыс. Каждой организации предоставили отдельный биткоин-адрес, а за возможность начать переговоры в некоторых случаях необходимо сначала перечислить 10% выкупа.
Размер требований не отражает доказанный ущерб или реальную ценность похищенных документов. Исследователи обнаружили, что суммы скорее связаны с масштабом бизнеса предполагаемой жертвы, чем с объёмом опубликованных образцов. При этом CyberLogitec публично не подтвердила компрометацию своих систем. По сведениям южнокорейских отраслевых изданий, компания предупредила клиентов о потенциальной угрозе, однако их рабочие системы продолжали функционировать в штатном режиме.
Корейское агентство интернет-безопасности KISA также уведомило организации, фигурирующие в списке n0n. Представители металлургической Dongkuk Steel заявили, что пока не могут подтвердить фактический ущерб. Независимых доказательств взлома всех 38 организаций нет, как и подтверждённых сведений о массовой остановке портов или судоходных операций. Исследователи пока не установили, какой именно сервер или сервис мог стать первоначальным источником данных и каким способом преступники получили к нему доступ.
Установленный злоумышленниками срок 19 октября уже прошёл, однако масштаб публикации обещанных архивов независимо не подтверждён. Неизвестно также, сколько компаний согласились платить и были ли перечислены деньги. Преступная группировка могла самостоятельно похитить информацию, получить доступ к архиву стороннего сервиса или приобрести материалы у других хакеров. Следователи пока не располагают достаточными доказательствами, чтобы выбрать одну версию.
Группировка n0n появилась сравнительно недавно. Первые публикации на её сайте зафиксировали 18 сентября 2026 года. Изначально преступники предъявляли требования организациям из разных отраслей, включая финансовые услуги, торговлю, образование и телекоммуникации. Исследователи связывают некоторые прежние проникновения с использованием паролей, похищенных вредоносными программами для кражи учётных данных, однако происхождение морского архива остаётся неясным.
Активность n0n быстро растёт. К 23 октября сервис мониторинга насчитал 149 публикаций группировки, включая 140 за последние 30 дней. Такой показатель вывел n0n в число наиболее активных вымогательских операций октября. Однако количество записей нельзя считать числом подтверждённых взломов. Преступники иногда повторно публикуют информацию об одной организации, сначала скрывая её название, а затем раскрывая после истечения срока ультиматума.
Предполагаемый инцидент вновь продемонстрировал уязвимость морских перевозок перед атаками на общих технологических поставщиков. В июне 2017 года вредоносная программа NotPetya нарушила работу инфраструктуры Maersk, включая контейнерные перевозки и терминалы. Тогда группа оценила потери в $200–300 млн. В отличие от NotPetya, нынешний случай пока связан прежде всего с угрозой раскрытия информации, а не с доказанным разрушением рабочих систем.
Специалисты рекомендуют морским компаниям проверить доступ подрядчиков к служебным системам, сменить пароли и ключи интеграций, изучить обращения в техническую поддержку и усилить контроль над подозрительной активностью. Особого внимания требуют старые учётные записи и документы, которые сотрудники передавали поставщикам программного обеспечения. Даже если инфраструктура порта не пострадала, оказавшиеся у преступников схемы сетей, коммерческие документы и реальные номера заявок могут использоваться для новых атак и мошенничества.
