📅 Source : SOCRadar, publié le 13 octobre 2026. Cet article analyse une vague d’extorsion massive ciblant le secteur maritime mondial, orchestrée par le groupe n0n, apparu en septembre 2026.
🎯 Contexte de l’attaque Le 12 octobre 2026, n0n a ajouté 38 organisations en une seule publication sur son site de fuite Dark Web, doublant ainsi son nombre total de victimes publiques. Les cibles couvrent l’ensemble de la chaîne logistique maritime : terminaux à conteneurs, compagnies maritimes, fournisseurs IT portuaires et agences logistiques, répartis dans 18 pays.
🌍 Répartition géographique des victimes
- Corée du Sud : 12 entrées (BNCT, Pusan Newport Company, GNCNet/DGT Busan, Saehan Marine, Dong-A Tanker, etc.)
- Brésil : Santos Brasil, Portonave, Superterminais, T2S
- Indonésie : ILCS Pelindo, April Asia, GlobalNet LCL, Samudera
- Espagne : TTI Algeciras
- Maroc : Eurogate Tanger
- Inde : NCT Kandla
- Vietnam : Nam Dinh Vu Port
- Singapour : Ocean Network Express, Apical Group
- Chine : CULines, ZPMC
- Et d’autres en Arabie Saoudite, Japon, Taiwan, Allemagne, Pays-Bas, Royaume-Uni, Kuwait
🔍 Hypothèse d’un point d’entrée commun Trois éléments suggèrent une vulnérabilité ou application partagée plutôt que 38 intrusions distinctes :
- Volumes de données faibles et homogènes : de 60 MB à 2,4 GB, cohérents avec une application unique
- Contenu récurrent : messages EDI, manifestes, enregistrements de mouvements de conteneurs, configuration de systèmes terminaux
- Absence de correspondances dans les logs infostealer pour de nombreuses victimes maritimes, alors que c’est le vecteur documenté de n0n
Le schéma rappelle les campagnes MOVEit Transfer (2023) et Cleo (2024), sans lien établi avec n0n.
💰 Demandes de rançon et mécanisme de pression
- Délai uniforme : 19 octobre 2026 à 13h27 UTC
- Montants : de 2,4 millions USD (ILCS Pelindo) à 14 millions USD (EUSU Logistics pour seulement 60 MB)
- Paiement en Bitcoin, vérifié automatiquement on-chain
- Option de négociation privée : paiement de 10% du montant comme droit d’entrée (ex. : 5,7 BTC ≈ 600 000 USD pour Eurogate Tanger)
- Statuts affichés : PENDING EXPOSURE, NOT PAID EXPOSED, HONORED
🧩 Profil du groupe n0n
- Type : extorsion par vol de données, sans ransomware traditionnel confirmé
- Origine probable : Russie
- Vecteur initial documenté : credentials volés via infostealer
- Outils : outils d’administration pour manipulation de données, techniques ATT&CK incluant chiffrement et inhibition de récupération
- Victimes antérieures : Fanatics, Transcom WorldWide, AstraZeneca Türkiye, Ministère de l’Éducation argentin, STOKR, Inter (Venezuela)
- Agressivité : élevée selon SOCRadar ; létalité : quasi nulle
⚠️ Statut de vérification Aucune des 38 organisations maritimes n’avait confirmé publiquement un incident au moment de la publication. Les revendications restent non vérifiées.
📄 Type d’article : Analyse de menace produite par SOCRadar, visant à documenter l’activité du groupe n0n, caractériser le vecteur d’attaque probable et informer les organisations du secteur maritime de l’exposition potentielle.
🧠 TTPs et IOCs détectés
Acteurs de menace
- n0n (cybercriminal) —
TTP
- T1078 — Valid Accounts (Initial Access)
- T1539 — Steal Web Session Cookie (Credential Access)
- T1555 — Credentials from Password Stores (Credential Access)
- T1041 — Exfiltration Over C2 Channel (Exfiltration)
- T1486 — Data Encrypted for Impact (Impact)
- T1490 — Inhibit System Recovery (Impact)
- T1657 — Financial Theft (Impact)
- T1589.001 — Gather Victim Identity Information: Credentials (Reconnaissance)
Malware / Outils
- Infostealer (stealer)
🟡 Indice de vérification factuelle : 45/100 (moyenne)
- ⬜ socradar.io — source non référencée (0pts)
- ✅ 15686 chars — texte complet (fulltext extrait) (15pts)
- ⬜ aucun IOC extrait (0pts)
- ⬜ pas d’IOC à vérifier (0pts)
- ✅ 8 TTPs MITRE identifiées (15pts)
- ✅ date extraite du HTML source (10pts)
- ✅ acteur(s) identifié(s) : n0n (5pts)
- ⬜ pas de CVE à vérifier (0pts)
🔗 Source originale : https://socradar.io/blog/n0n-group-global-ports-shipping-leak/