Группа N0n опубликовала записи о 38 организациях судоходства и логистики

Группа N0n, также известная как n0n, занимается вымогательством с использованием украденных данных. С 11 по 13 октября 2026 года она опубликовала 54 записи, в том числе данные 38 организаций из цепочки поставок в судоходной и логистической отраслях в 18 странах и территориях. Всего на сайте группы размещено 76 записей, что соответствует примерно 64–66 уникальным организациям после удаления дубликатов и анонимных повторных публикаций.

Публикации и характер угрозы для морской отрасли

Сайт утечек в сети Tor N0n запустила 18 сентября 2026 года. Записи, связанные с судоходством, группа опубликовала в течение 23 минут 12 октября. Для них установили единый срок публикации данных, 19 октября 2026 года в 13:27 по UTC.

Морская кампания затрагивает операторов терминалов и портов, контейнерные линии, судовладельцев, портовые агентства, логистических провайдеров, операторов систем портового сообщества, поставщиков технологий для терминалов и производителей. Больше всего жертв зафиксировано в Южной Корее, 12 организаций. На Индонезию и Бразилию приходится по четыре.

В целевых средах, вероятно, хранятся данные систем управления терминалами, архивы EDI с манифестами и бронированиями, записи систем портового сообщества и счета-фактуры. Там также может находиться инфраструктура удалённого доступа. Компрометация поставщиков IT-систем портов или систем терминалов может затронуть множество клиентов и партнёров.

N0n утверждает, что похитила данные, а в некоторых случаях зашифровала или уничтожила резервные копии и вывела сети из строя. С группой не связали шифровальщик, требование выкупа, хеш файла, расширение зашифрованного файла или иной артефакт вредоносного ПО. Доступные доказательства позволяют преимущественно классифицировать N0n как группу, вымогающую данные. Сопоставление её действий с техниками программ-вымогателей, например T1486, остаётся неподтверждённым.

Предполагаемый доступ и рекомендации защитникам

Наиболее вероятным методом первоначального доступа исследователи считают использование действительных украденных учётных данных. Возможно, их получили с помощью стиллера, однако технического подтверждения этому нет. Сайт утечек работает без JavaScript и CAPTCHA, предоставляет загрузки в форматах ZIP и torrent, а также содержит RSS-ленту и закрытые переговорные комнаты.

Под угрозой находятся организации из списка жертв, их партнёры по EDI и SFTP, пользователи общей портовой технологии, а также компании, упомянутые в украденных счетах-фактурах или записях EDI. Авторы отчёта рекомендуют защитникам:

• расследовать активность, начавшуюся с середины сентября;
• обновить общие учётные данные для EDI, SFTP, API и портовых систем;
• проверить источники данных стиллеров на наличие раскрытых корпоративных учётных записей;
• внедрить MFA для интерфейсов RDP, VPN, Citrix и облачного администрирования;
• отслеживать удаление теневых копий, удаление каталогов резервных копий и массовую эксфильтрацию с помощью таких инструментов, как rclone.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.