Maersk onderzoekt een incident waarbij volgens het bedrijf data is ontvreemd uit één van haar IT-systemen. Tegelijkertijd claimt een afpersingsgroep dat er gevoelige informatie is gestolen en eist zij $5 miljoen. Voor betrokken organisaties en partners is vooral relevant wat Maersk wel en niet bevestigt, en hoe dit type claim doorgaans verder kan escaleren.
In dit artikel zetten we de meest concrete punten op een rij rond de Maersk datadiefstal, inclusief de aard van de systemen waarover Maersk spreekt, de claim van de groep achter de aanval, en de aandachtspunten voor incidentrespons.
Wat Maersk bevestigt over de datadiefstal
Maersk laat weten dat haar cybersecurityteam een inbraak heeft ontdekt en een onderzoek is gestart. Daarbij stelt de onderneming dat de getroffen omgeving een lokaal systeem betreft. Verder geeft Maersk aan dat er op basis van de huidige bevindingen sterk wordt vermoed dat er geen gevoelige data is openbaar gemaakt.
Ook benadrukt Maersk dat de kwestie geïsoleerd lijkt te zijn. Het bedrijf zegt geen aanwijzingen te hebben gevonden dat andere Maersk-systemen zijn geraakt. Daarnaast meldt het dat er geen impact is gezien op klant- en partnersystemen die via API’s en EDI gekoppeld zijn.
Het getroffen systeem: meegekocht via eerdere overname
Volgens Maersk gaat het om een systeem dat is overgenomen binnen een eerdere acquisitie. Het bedrijf meldt dat het de betreffende onderneming niet bij naam identificeert. Deze context is belangrijk, omdat acquisities vaak leiden tot complexere IT-landschappen: systemen kunnen langer blijven draaien, minder goed gedocumenteerd zijn of onder een andere governance vallen dan de rest van het bedrijf.
Maersk zegt dat er al acties zijn genomen om de omgeving te beveiligen. Tegelijkertijd blijft het incidentonderzoek gaande, waardoor aanvullende technische details later kunnen volgen.
De afpersingsclaim: $5 miljoen en een tijdslimiet
Naast de interne ontdekking door Maersk is er ook een openbare claim van een afpersingsgroep. Een groep die zich presenteert als WhiteArmor plaatste Maersk op haar leak site en dreigde publicatie van gestolen informatie als er niet werd betaald.
In de afpersingsboodschap wordt een termijn genoemd van 30 dagen om contact op te nemen en $5.000.000 in bitcoin te voldoen. Het is daarbij cruciaal om te onderstrepen dat de claims van de aanvallers niet onafhankelijk zijn geverifieerd en dat Maersk niet heeft bevestigd dat WhiteArmor daadwerkelijk betrokken is.
Welke gegevens de aanvallers zeggen te hebben buitgemaakt
Volgens de claims van de afpersingsgroep zou er ongeveer 100 GB aan data zijn verkregen van een platform dat is gekoppeld aan LF Logistics. LF Logistics is een logistiek bedrijf op basis van de berichtgeving dat Maersk in 2022 verwierf.
De groep stelt onder andere dat er sprake is van:
- circa 29.000 recordsets van chauffeurs;
- waarbij 16.093 van die chauffeursrecords plaintext wachtwoorden bevatten;
- 16.123 accounts van medewerkers, inclusief 33 met superadministrator-rechten;
- informatie over ontvangers van zendingen, ondertekende afleveringsbewijzen, voorraadgegevens, purchase orders en shipping notices;
- meer dan 27.000 logs van mobiele apparaten met onder andere telefoonnummers, e-mailadressen en IMEI-identifiers.
Hoewel dit omvangrijk klinkt, geldt dat Maersk nog niet publiekelijk heeft bevestigd welke exacte categorieën gegevens zijn gestolen of wat de echte impact is. Dat betekent dat organisaties extra alert moeten zijn op het scenario waarin wachtwoorden of administratieve accounts inderdaad zijn aangetast.
Waarom “geen impact” niet hetzelfde is als “geen risico”
Maersk zegt dat er geen aanwijzingen zijn gevonden voor gevolgen voor andere systemen en voor gekoppelde klant- en partnersystemen. Dat is een belangrijk signaal, omdat het kan wijzen op een beperkte footprint van de aanvallers.
Toch blijft er in dit soort incidenten altijd een kans op latere ontdekking van aanvullende sporen. Denk aan verborgen persistentie, hergebruik van gecompromitteerde accounts of het pas later achterhalen van de exacte scope van de gegevens. Daarom is het voor Maersk en voor vergelijkbare bedrijven essentieel om doorlopend te toetsen: zijn credentials nog geldig, zijn logs consistent, en zijn er indicatoren die duiden op laterale beweging?
Wat dit incident zegt over incidentrespons bij logistiek en supply chain
De logistieke sector leunt sterk op onderlinge koppelingen. In het bericht van Maersk spelen API’s en EDI expliciet een rol bij de beoordeling van mogelijke impact op partners en klanten. Dat is een type ketenafhankelijkheid waarbij zelfs een “lokaal systeem” alsnog relevant kan worden als daar sleutels, tokens of koppelingen aan hangen.
Wie dit soort berichten leest, kan de aanpak vertalen naar eigen omgevingen:
- Controleer systemen die uit overnames zijn voortgekomen: scope, patchniveau, logging en toegangsbeheer.
- Voer account-hygiëne uit: rollen, privileges, wachtwoordbeleid en of er aanwijzingen zijn voor credential dumping.
- Verifieer dat API- en EDI-koppelingen niet kunnen worden misbruikt met gestolen sessies of configuraties.
- Communiceer transparant over wat wel en niet bevestigd is, zodat interne en externe stakeholders juiste verwachtingen hebben.
Vergelijkbare signalen: datalekclaims en patchvertraging
In de praktijk zie je vaak dat aanvallers hun claims onderbouwen met screenshots, steekproeven of vermeende datacategorieën. Dat kan verwachtingen zetten—en soms ook druk verhogen om sneller te betalen. Over het effect van tijd en achterstand bij beveiligingsmaatregelen is vaker geschreven dat vertragingen incidenten verergeren.
Als je meer wilt lezen over hoe patchen en dreigingen samen kunnen leiden tot risico’s, kijk dan ook naar analyses rondom patchvertraging en kwetsbaarheden, zoals dreiging en patchvertraging in 2026. Dat helpt om dit soort Maersk-situaties breder te plaatsen.
Welke volgende stap je van Maersk kunt verwachten
Maersk geeft aan dat het onderzoek nog loopt en dat betrokken partijen indien nodig zullen worden geïnformeerd. In de komende periode kan duidelijk worden:
- of de aanvallers werkelijk verantwoordelijk zijn voor de claim;
- welke datatypes exact zijn geraakt;
- wanneer de inbraak heeft plaatsgevonden en hoe toegang is verkregen;
- of er sprake was van compromittering van accounts, met name met hogere privileges.
Tot die tijd blijft het voor organisaties verstandig om de eigen blootstelling te herijken: bekijk of vergelijkbare componenten (ook uit overgenomen omgevingen) extra monitoring nodig hebben en of wachtwoord- of toegangsconfiguraties moeten worden aangescherpt.
Conclusie
De Maersk datadiefstal draait om een bevestigd incident in een lokaal systeem dat via een eerdere overname is meegekomen. Maersk zegt dat er (vooralsnog) geen aanwijzingen zijn voor verspreiding naar andere systemen en dat er sterk wordt vermoed dat er geen gevoelige data is gepubliceerd. Tegelijkertijd blijven de afpersingsclaim en de specifieke datacategorieën waar de aanvallers mee schermen onderwerp van verificatie.
Voor de meeste organisaties is dit vooral een reminder: ook “geïsoleerde” inbraken kunnen leiden tot ernstige gevolgen als credentials, logs of gekoppelde processen zijn geraakt. Blijf daarom alert op scope, privilegebeheer en de status van gekoppelde API’s en EDI-stromen.
Bron: https://www.securityweek.com/maersk-confirms-data-theft-amid-5-million-extortion-attempt/
