n0n : 34 organisations maritimes et portuaires listées le 12 octobre
Le 12 octobre 2026, entre 13 h 53 et 14 h 16 UTC, le site de fuite d’un groupe cybercriminel récent, se faisant appeler n0n, a listé 38 organisations [1] [2]. Chaque fiche porte la mention « non payé » et \1 Ces listes reposent sur la seule revendication du groupe, qu'aucune victime n'a confirmée à ma connaissance. Parmi ces 38 organisations citées, 34 appartiennent au transport maritime, aux ports et aux terminaux.
Un groupe repéré le 18 septembre 2026
Le groupe a moins d’un mois d’existence publique. Cela invite à la prudence sur son origine, ses motivations et ses modes opératoires. La première date d’activité est détectée le 18 septembre 2026, son site de fuite accessible par Tor apparaissant le 21. Le 22, il revendique déjà plus d’une douzaine de victimes [3]. Parmi elles figurent un prestataire de relation client (87 millions d’enregistrements revendiqués) et un fournisseur d’accès vénézuélien. SOCRadar compte 21 victimes dans 17 pays avant le lot maritime, pour la plupart hors du secteur, et situe probablement le groupe en Russie. Aucun lien avec un groupe antérieur n’est documenté.
ZeroFox et CyberXTron décrivent un accès initial par des identifiants volés par des infostealers (logiciels voleurs d’identifiants) et la menace de chiffrer ou de détruire les sauvegardes. SOCRadar décrit un vol de données sans déploiement de rançongiciel.
Pour mémoire, un infostealer est généralement installé à la suite d’un clic sur la pièce jointe infectée d’un courriel de hameçonnage, puis récupère les identifiants saisis sur le poste d’un technicien ou d’un prestataire, interfaces d’administration comprises, puis les revend. Avec un compte valide, l’accès ne demande aucune faille, et un mot de passe robuste n’y change rien s’il a été tapé sur une machine infectée.
Qui figure sur la liste ?
Sur les 34 entités maritimes, 22 sont en Asie de l’Est, du Sud et du Sud-Est, dont 10 en Corée du Sud. Les 12 autres se trouvent au Brésil, en Turquie, au Maroc, au Koweït, en Arabie saoudite, en Espagne, en Allemagne et au Royaume-Uni. SOCRadar compte 18 pays au total.
Les fiches décrivent des données de même nature : archives d’échange de données informatisé (EDI), scripts de base de données de systèmes d’exploitation de terminal, journaux système et données de facturation.
Cinq montants affichés
5 fiches sur 34 portent une rançon : entre 600 000 et 14 millions de dollars, payables en bitcoins. Les deux montants les plus élevés concernent un terminal et une société de logistique, et des frais d’accès de 10 % du montant sont exigés, selon SOCRadar, pour accéder à la salle de négociation privée (!).
Un fournisseur de logiciels évoqué ?
Une hypothèse circule sur les réseaux sociaux : une vulnérabilité d’un éditeur coréen de logiciels pour le transport maritime et les terminaux, qui aurait pu être exploitée comme source initiale de compromission (ce qui pourrait être cohérent en termes de dépendances numériques). Aucune source indépendante ne le confirme, et les fiches du site de fuite ne nomment aucun fournisseur. Pour l’instant, les communiqués de cet éditeur et de ses clients désignent 9 victimes enregistrées comme utilisatrices de ses logiciels, des terminaux portuaires et un armateur répartis dans plusieurs pays. La fiche qui affiche la rançon la plus élevée est celle d’une société sœur de cet éditeur au sein du même groupe. SOCRadar observe que les petits jeux de données revendiqués pour plusieurs victimes pourraient provenir d’une application commune, sans que cela soit confirmé non plus. Reste à évaluer le coût réel de ces fuites et de ces attaques (Cyber Battle Damage Assessment, évaluation des dommages après attaque).
L’avis de l’agence coréenne
Le 13 octobre, la Korea Internet and Security Agency (KISA, l’agence coréenne de sécurité de l’internet) a déclaré au média Boannews connaître des dommages de rançongiciel dans plusieurs sociétés portuaires coréennes, qu’elle en a informées.
