ekera 38 entreprises maritimes rançonnées d’un coup : et si la fuite venait d’un seul fournisseur ?
Le 12 octobre 2026, un groupe d’extorsion a publié d’un seul coup les noms de 38 entreprises du transport maritime, dans 18 pays. Selon une première analyse, les données pourraient toutes provenir d’un même éditeur de logiciels. Pour une ETI, la leçon dépasse le secteur maritime.
Que s’est-il passé dans le secteur maritime ?
Le groupe n0n, apparu en septembre 2026, a ajouté le 12 octobre 38 organisations du secteur maritime à son site de fuite : opérateurs de terminaux portuaires, armateurs, logisticiens, agents maritimes, réparties dans 18 pays, selon SOCRadar cité par Splash247. Le groupe revendique un vol de données, pas un chiffrement des systèmes. L’échéance de paiement était fixée au 19 octobre. Dès le départ, SOCRadar a relevé que des jeux de données petits et propres à une application pouvaient indiquer une faille commune plutôt que 38 intrusions distinctes.
Les montants diffèrent selon les sources. SOCRadar a fait état de rançons de 2,4 à 14 millions de dollars par entreprise. La société de cybersécurité maritime Cydome relève des demandes de 400 000 à 400 millions de dollars, pour un total d’environ 1,22 milliard ; elle note que certains chiffres publiés correspondent à une option proposée par le groupe, payer 10 % de la demande pour ouvrir la négociation. Selon la newsletter Risky Bulletin du 23 octobre, la plupart des victimes ont refusé de payer et leurs données ont été publiées.
Pourquoi les regards se tournent-ils vers un fournisseur ?
Parce que les données semblent venir d’un même endroit. Dans une analyse provisoire publiée mi-octobre, Cydome estime qu’au moins 21 des 38 organisations sont des clients connus d’un éditeur sud-coréen de logiciels maritimes, et que plusieurs noms de fichiers des échantillons citent l’éditeur ou ses produits. Son hypothèse : une seule archive de support et de projets, découpée ensuite en une fiche par client. Les fichiers datent de 2009 à août 2026 et pourraient contenir des identifiants, des données personnelles, des échanges EDI et de la documentation des systèmes ; Cydome dit ne pas pouvoir en vérifier l’authenticité. Elle conseille aux clients de l’éditeur d’examiner en priorité les comptes d’administration et d’intégration, et l’activité des comptes depuis juillet 2026.
Cette piste n’est pas confirmée. Selon Cydome, cet éditeur n’a pas confirmé d’incident ; d’après la presse coréenne citée par Cydome et Smart Maritime Network, l’éditeur a prévenu ses clients par précaution et indique que ses systèmes fonctionnent normalement. Le Waterways Journal résume, le 23 octobre : « the source and scope of the alleged breach remained unconfirmed ». Risky Bulletin, plus affirmatif, y voit l’une des plus grandes attaques contre le secteur depuis NotPetya.
Être sur la liste, est-ce avoir été piraté ?
Pas nécessairement, et c’est le point que les ETI connaissent le moins. « Being named on the list does not necessarily mean an organization’s own network was breached », rappelle Cydome : figurer sur la liste ne veut pas dire que son propre réseau a été pénétré. Si l’hypothèse se confirme, les entreprises citées n’auraient pas forcément été attaquées chez elles : ce seraient des données qu’elles avaient confiées à un prestataire, parfois depuis des années, qui se retrouveraient dans la nature.
La conséquence est double. Avant de répondre à une demande de rançon, il faut savoir d’où viennent les données ; Cydome recommande d’établir leur origine d’abord. Et la menace ne s’arrête pas à la fuite : des identifiants, des configurations ou de vrais numéros de ticket permettent ensuite des hameçonnages crédibles et des connexions avec des comptes valides.
Pourquoi une ETI hors du maritime est-elle concernée ?
Parce que toute ETI confie des données à des éditeurs et à des prestataires : un éditeur d’ERP ou de logiciel métier qui garde des copies de bases pour le support, une société de maintenance qui détient des accès à distance, un intégrateur qui archive la documentation du réseau. Chacun de ces fournisseurs sert souvent des dizaines de clients du même secteur, et une seule intrusion chez lui peut les toucher tous à la fois. Le jour où son nom apparaît dans une alerte, trois questions se posent : quelles données lui avons-nous envoyées, quels comptes lui avons-nous ouverts, et quelles activités s’arrêteraient si l’on devait couper ses accès ?
Que doit vérifier une ETI dès maintenant ?
- Recenser les comptes des fournisseurs et les accès à distance, puis renouveler les mots de passe partagés ou anciens, comme le recommande Cydome.
- Lister les données confiées à chaque prestataire au fil des années : copies de bases, journaux, schémas, exports envoyés pour le support.
- Exiger la double authentification sur les portails des fournisseurs et une clause de notification des incidents dans les contrats.
- Prévenir les équipes que des messages piégés peuvent reprendre de vrais numéros de ticket, de vrais modèles de facture ou de vrais échanges.
- Préparer la réponse : si votre nom apparaît sur un site de fuite, vérifier l’origine des données avant toute réponse, avec votre assureur et vos conseils.
Quelle réponse propose Ekera ?
Ekera construit une carte documentée du système d’information, du processus au serveur, à partir de vos documents et de vos exports : contrats, inventaire, annuaire, achats. Chaque élément garde ses sources, et Ekera lit aussi, dans votre logiciel d’achat, les contrats et les fournisseurs, pour la mesure NIS2 sur la chaîne d’approvisionnement. Le jour où un fournisseur est cité dans une alerte, la cartographie du système d’information aide à voir quelles applications et quels processus dépendent de lui.
On peut interroger la carte en français, par exemple sur ce que coûterait l’arrêt d’une application pendant trois jours : chaque chiffre vient du moteur de calcul, jamais du modèle de langage. Pour les travaux décidés, Ekera prépare les demandes de devis avec les clauses de sécurité à mettre au contrat ; vos achats décident. Voir l’exemple chiffré des Ateliers Morvan (exemple fictif).
Questions fréquentes
Combien d’entreprises maritimes le groupe n0n a-t-il visées ?
38 organisations dans 18 pays, publiées d’un seul coup le 12 octobre 2026 sur son site de fuite. Ce qui s’est passé.
La fuite vient-elle d’un fournisseur commun ?
C’est l’hypothèse provisoire de Cydome, qui n’est pas confirmée à ce jour. La piste du fournisseur.
Que faire si son entreprise apparaît sur un site de fuite ?
Vérifier d’abord d’où viennent les données, car la fuite peut venir d’un prestataire et non de son propre réseau. Être sur la liste.
Sources
- Cydome, analyse provisoire de l’incident n0n et de la piste d’un fournisseur unique, 15 octobre 2026
- Risky Bulletin, « Supply chain attack lets ransomware group inside 40+ shipping companies », 23 octobre 2026
- The Waterways Journal, « Cyber Extortion Group Targets 38 Maritime Organizations », 23 octobre 2026
- Smart Maritime Network, sur les 38 organisations et les 1,22 milliard de dollars demandés, 20 octobre 2026
- Splash247, « Shipping firms and ports caught in mass cyber extortion claim », 14 octobre 2026
Article préparé avec l’agent de veille d’Ekera à partir des sources citées, relu et validé par l’équipe avant publication. Ekera cartographie le système d’information (SI) des ETI, chiffre ce qu’une attaque arrêterait et prépare les preuves NIS2. Découvrir Ekera.