Компании, занимающиеся кибербезопасностью, предупреждают морское сообщество о том, что, по всей видимости, произошла массовая утечка данных, которая может создать проблемы 38 организациям, начиная от судоходных линий и заканчивая портами, операторами терминалов и агентствами.
Кибервымогатели из n0n Group выступили 12 октября с угрозами в адрес 38 организаций, требуя значительный выкуп за неразглашение данных.
Срок исполнения определен в неделю.
Шантажу подвергаются, в том числе, офисы крупнейших Ocean Network Express (ONE) в Сингапуре, CULines, T.S. Lines, а также компании в Южной Корее, Японии и Индонезии.
В прицел киберпреступников также попали порты и терминалы от Южной Кореи до Индии, Саудовской Аравии, Испании, Бразилии и Вьетнама.
Помимо агентств, поддерживающих морские перевозки, сеть кибермошенников накинута на смежные предприятия, в том числе китайского производителя кранов ZPMC.
Об этой группе хакеров, которая впервые появилась на сцене в сентябре, а до этого, по данным охранной фирмы SOCRadar, совершала широкомасштабные нападения с целью выкура, известно немного.
Не исключено, что хакеры оперируют из России, нанеся удары по 21 организации, начиная от инвестиционных компаний и заканчивая телекоммуникационными компаниями, розничной торговлей, образованием и фармацевтической промышленностью, в общей сложности в 17 странах.
Ни одна из судоходных компаний и других 38 организаций, которые были указаны на темном веб-сайте, публично не подтвердили факт атаки.
SOCRadar сообщает, что кибершантажисты дали время до 19 октября, чтобы произвести платежи с помощью биткоинов, в противном случае их данные будут опубликованы.
Суммы выкупа варьируются в зависимости от объема данных, которыми, по утверждениям n0n, располагает SOCRadar, и составляют от 2,4 до 14 миллионов долларов, хотя группа заявляет о готовности вести переговоры по крайней мере с некоторыми организациями.
SOCRadar проанализировал информацию и считает, что, скорее всего, атака произошла из одной общей системы.
В отчете отмечается, что n0n, по-видимому, избегает разработки традиционных программ-вымогателей и вместо этого манипулирует данными жертвы с помощью инструментов администрирования.
Похоже, что текущая атака сосредоточена на компаниях в Азии и уязвимости, по-видимому, затрагивают узкую группу категорий, таких как сообщения EDI, манифесты, записи об обмене шлюзами и оборудованием, конфигурация терминальной системы, документы о выпуске и материалы для развертывания.
Аналитики SOCRadar обращают внимание на то, что кибератака напоминает другие не связанные между собой кампании по массовому вымогательству в 2023 и 2024 годах, когда уязвимость в одном широко распространенном продукте для передачи огня в одном приложении привела к разоблачению.
Израильская компания по морской кибербезопасности Cydome также опубликовала анализ киберинцидента.
«Наша оценка указывает на возможный взлом общей среды, связанной с CLT, поставщиком программного обеспечения для морских перевозок, имеющим документально подтвержденные связи со многими из названных организаций. Источник и сфера охвата информации остаются неподтвержденными».
Cydome советует морским операторам внимательно изучать и проверять информации о поставщиках, анализа доступа к поставщикам и оценки учетных данных, передаваемых по каналам поддержки.
