La conocida empresa de transporte marítimo Maersk, admitió que alguien accedió sin permiso a uno de sus sistemas y extrajo datos. La naviera danesa sostiene que la máquina afectada es un sistema local heredado de una adquisición anterior y que el incidente está aislado, sin señales de impacto en el resto de su infraestructura ni en las conexiones por API y EDI que usan clientes y socios. No dio fechas, no identificó el sistema y no confirmó quién está detrás.
El mismo día, un grupo llamado WhiteArmor mantenía a la compañía en su página de filtraciones con una petición de 5 millones de dólares en bitcoin y un plazo de 30 días. Su versión es mucho más concreta y mucho menos comprobable: unos 100 GB extraídos de la plataforma OCF/LF Logistics, con 29.000 registros de conductores, contraseñas guardadas en texto plano y cuentas de personal del sistema, además de albaranes firmados y registros de dispositivos móviles con teléfono e IMEI. El grupo incluso calcula el rescate sobre los ingresos del negocio de logística de contrato.
Un tercio de dato confirmado y dos tercios de acusación sin verificar es el reparto real de esta historia. La parte que Maersk reconoce cabe en tres frases; la que describe el grupo ocupa un catálogo entero con números incómodamente precisos.
Un sistema heredado y una cifra en el escaparate
El grupo incluyó a Maersk en su sitio de filtraciones el 7 de noviembre de 2026, antes de que la empresa hablara en público. Su demanda de 5 millones en bitcoin concede 30 días para contestar y presume de conocer el negocio concreto al que ataca, un detalle que Maersk no ha traducido en ninguna confirmación pública.
El sistema señalado es la plataforma OCF/LF Logistics, que sostiene logística de contrato y cumplimiento para marcas de consumo. La compra de LF Logistics a Li & Fung en 2022 encaja con la referencia del comunicado a un sistema viejo traído de una adquisición previa, aunque la naviera no ha querido confirmar el vínculo y la coincidencia queda como hipótesis razonable.
Las cifras que el grupo detalla son de una precisión incómoda: 29.000 registros de conductores de los que 16.093 llevarían contraseñas en claro, 16.123 cuentas de personal de las que 33 tendrían privilegios de superadministrador, y 27.842 registros de dispositivos con teléfono e identificador de hardware. Ese es el inventario que atribuye al grupo, y ninguna parte lo ha validado con una muestra de ficheros.
| Afirmación |
Quién la sostiene |
Estado |
| Acceso no autorizado y extracción de datos en un sistema local heredado |
Maersk, 11 de noviembre |
Confirmado por la víctima |
| Incidente aislado, sin impacto en sistemas propios ni en APIs y EDI de clientes |
Maersk |
Sostenido sin evidencia pública |
| 100 GB de la plataforma OCF/LF Logistics |
WhiteArmor |
No verificado |
| 29.000 registros de conductores con 16.093 contraseñas en claro |
WhiteArmor |
No verificado |
| 16.123 cuentas de personal y 33 superadministradores |
WhiteArmor |
No verificado |
| 27.842 registros de dispositivos con teléfono, correo e IMEI |
WhiteArmor |
No verificado |
| Cifrador listo para operar |
WhiteArmor afirma que está casi terminado |
Sin uso documentado |
La tabla obliga a leer las dos versiones por separado. Maersk confirma el qué y el dónde, mientras el grupo presume de cantidades que nadie ha contado. Ninguna de las dos partes ha publicado una muestra de los ficheros.
Lo que la empresa no está diciendo
Por otro lado, el comunicado de Maersk del 11 de noviembre, deja fuera tres cosas que cualquier afectado querría saber: cuándo ocurrió el acceso, cuánto duró y qué datos exactos salieron. La compañía dice que sus hallazgos apuntan a que no se ha divulgado información sensible, una fórmula que describe lo que sabe hoy y no lo que puede saber en tres semanas.
Ese vacío tiene consecuencias prácticas. Un conductor o un transportista que trabajó para la plataforma no puede saber si su contraseña circula, porque la empresa no ha detallado qué tipo de registro quedó comprometido. La naviera avisa además de que cualquier comunicación inesperada sobre este asunto debe verificarse por el canal habitual, una advertencia que apunta a la segunda ola clásica de estas extorsiones.
El matiz de las APIs y el EDI merece su propio párrafo. Son los canales por los que un cliente consulta dónde va su contenedor y por los que se intercambian documentos aduaneros, y si el incidente hubiera tocado esa capa el aviso sería un parte de interrupción de servicio, no una nota de transparencia.
La lógica del rescate tampoco es la de un secuestro de datos al uso. El mensaje de la página de filtraciones calcula el precio sobre el negocio de logística de contrato y lo compara con un tramo de ingresos. Es una negociación sobre reputación, no sobre la llave para descifrar nada, y esa diferencia cambia por completo quién tiene la sartén por el mango.
El reloj corre desde el 7 de noviembre, así que el plazo de 30 días vence en la primera semana de diciembre. Si nadie paga y el grupo cumple la amenaza, la publicación convertirá una nota de transparencia en un asunto de protección de datos con titulares identificables.
WhiteArmor promete un cifrador que todavía no existe
El grupo se presenta como especialista en extorsión por robo de datos y admite que su cifrador está casi terminado, es decir, que aún no opera como ransomware clásico. Sin cifrado no hay presión operativa sobre la cadena de suministro, solo la amenaza de publicar ficheros.
Su historial en el último mes apunta a un recién llegado con hambre. Las peticiones que se le atribuyen van de 140.000 dólares a 20 millones, y varias apuntan al mismo sector, con nombres como J.B. Hunt, Ryder y Echo Global Logistics en la lista. Un grupo que ataca logística una y otra vez no improvisa: está probando qué víctima paga antes.
WhiteArmor ataca plataformas que concentran datos de terceros, conductores y transportistas incluidos en el paquete. La naviera puede rotar sus propias contraseñas, pero no el documento de identidad de un conductor subcontratado, y ahí el daño se vuelve caro de reparar.
La lección es el inventario, no el rescate
El patrón se repite en cada operación corporativa. La empresa compradora integra la facturación y el correo del equipo adquirido, y deja el sistema que gestiona albaranes en un rincón con su propia contraseña, su propio calendario de parches y una conexión al resto de la red heredada de la integración. Nadie vuelve a mirarlo hasta que aparece en una página de filtraciones.
En Maersk el episodio tiene antecedente. NotPetya obligó a la compañía a reinstalar más de 4.000 servidores y 45.000 puestos de trabajo en 2017, con diez días sin sistemas y unas pérdidas que la propia empresa situó en hasta 300 millones de dólares. Aquel golpe reescribió la seguridad de la casa matriz; lo que ahora falla es el borde, el sistema pequeño que quedó fuera del radar corporativo.
El detalle de las contraseñas en claro tampoco es nuevo. La brecha de Gnosis Pay expuso datos de titulares de tarjetas por fallos de manejo de información sensible. El historial de Iris Ohyama con 7,7 millones de personas muestra el mismo problema de fondo en bases antiguas.
La respuesta del colegio con 37 equipos cifrados por el grupo 3AM añade la otra mitad del cuadro, la que ocurre cuando el incidente ya está dentro y hay que decidir en horas.
La pregunta que queda no es si WhiteArmor publicará los datos, sino cuántas otras plataformas heredadas siguen dentro de la misma red. Ninguna empresa puede auditar de memoria lo que compró hace cuatro años, y ese hueco es exactamente el que un grupo de extorsión sin cifrador explota con un plazo de 30 días y una cifra redonda. Maersk tiene cuatro años de integraciones por revisar y una lista de clientes que va a preguntar por sus datos esta misma semana.
