MÆRsk under afpresning med Ransonware: Ny hacker gruppe hævder at have 100 GB logistikdata

Den nye afpresningsgruppe WhiteArmor hævder at have kopieret omkring 100 gigabyte data fra den kontraktlogistikplatform, som Maersk fik med købet af Hongkong baserede LF Logistics i 2022. Gruppen kræver 5 mio. dollar i bitcoin for ikke at offentliggøre materialet den 7. december 2026. Koncernen nøjes med at omtale sagen som »potentielle brud på sikkerheden«, der er under undersøgelse. Det skriver Ingeniøren, Risky Buletin og ICARE.DK. Endvidere kan der i denne sag være tale om medarbejderhævn.

Maersk bekræfter datatyveri: Hackere kræver 5 mio. dollar i bitcoin

Kort efter at Ingeniøren beskrev hackergruppen WhiteArmors afpresningsforsøg, har Maersk bekræftet et indbrud. Onsdag den 11. november 2026 kom indrømmelsen: uautoriseret adgang og udtræk af data fra et ældre system, som fulgte med et tidligere opkøb og kun bruges lokalt i en afgrænset del af forretningen. Budskabet til kunderne er beroligende: ingen følsomme oplysninger ude efter de foreløbige fund, ingen påvirkning af øvrige systemer eller af API og EDI forbindelserne og ingen driftsforstyrrelser. Over for det står WhiteArmors påstand om cirka 100 gigabyte data fra LF Logistics platformen og et krav på 5 mio. dollar i bitcoin inden den 7. december. Det skriver Ingeniøren

Hvad Maersk bekræfter, og hvad hackerne hævder

Bekræftelsen ændrer sagens karakter, men den lukker den ikke. Sammenhængen mellem det bekræftede indbrud og WhiteArmors materiale står stadig uafklaret hen, for koncernen sætter hverken navn på hackergruppen eller på det opkøbte selskab. Tavsheden gælder også de vigtigste detaljer: hvilke data der er taget, og hvordan gerningsmændene kom ind. Berørte parter kan ifølge Ritzau regne med besked, hvis de videre undersøgelser bringer nyt frem. Hos Jyske Bank ligger opmærksomheden på to ting: hvor langt undersøgelsen ender med at række, og om sagen får regulatoriske følger. Skræmmebilledet fra 2017 hedder NotPetya, hvor regningen løb op mod 300 mio. dollar. Denne gang er truslen ikke driftsstop, men at kunders og medarbejderes oplysninger havner frit tilgængeligt. Dette omtales bl.a. her: Maersk hit by fresh cyber breach – Splash247

Punkt	Maersk	WhiteArmor
Adgang og dataudtræk	Bekræftet	Hævdet
Hvilket system	Ældre system fra et tidligere opkøb, navn ikke oplyst	LF Logistics platformen
Mængde	Ikke oplyst	Cirka 100 GB
Indhold	Foreløbig ingen følsomme oplysninger	Adgangskoder i klartekst, administratorkonti, navne og adresser på knap 19.000 modtagere
Drift	Ingen forstyrrelser, API og EDI ikke berørt	Ingen påstand om kryptering
Adgangsvej	Ikke oplyst	Ikke oplyst

Ordet følsomme bør læses med omhu. I databeskyttelsesretten er følsomme oplysninger en snæver kategori, som blandt andet dækker helbred, religion og politisk overbevisning. Navne, adresser, telefonnumre, mailadresser og adgangskoder er almindelige personoplysninger, men de er stadig omfattet af reglerne om brud på persondatasikkerheden. En afvisning af læk af følsomme oplysninger er derfor ikke det samme som en afvisning af læk af personoplysninger, og hvad Maersk præcist lægger i ordet, fremgår ikke.

Hackernes egen opgørelse

Afpresningsforsøget kan dateres til den 7. november 2026, og med en frist på 30 dage falder den varslede offentliggørelse den 7. december. Afpresserne sætter selv kravet i forhold til koncernens indtjening og regner sig frem til, at det modsvarer omkring fire timers EBITDA. Risky Bulletin tæller kun 14 navne på lækagesiden og daterer gruppens første aktivitet til omkring tre uger tilbage. Transport og logistik går igen på listen, hvor også de amerikanske selskaber Ryder og JB Hunt optræder med krav i millionklassen. Prisen for det Hongkong baserede LF Logistics var 3,6 mia. dollar, da handlen faldt på plads i 2022. Thomas “Mannie” Wilkans fra cybersikkerhedsfirmaet Lab-1 vurderer over for Version2, at opslaget fremstår troværdigt, og at der er tale om rent datatyveri frem for klassisk ransomware. Sikkerhedstjenesten RedPacket Security læser opslaget på samme måde, som datatyveri og afpresning uden påstand om kryptering. Ingen uafhængig part har efterprøvet tallene i tabellen, som udelukkende bygger på gruppens eget opslag. WhiteArmor Maersk Claim Unverified

Datatype ifølge gruppen	Påstået omfang	Hvorfor det er følsomt
Chaufførprofiler	29.297, heraf 16.093 med adgangskode i klartekst	Genbrugte adgangskoder kan åbne andre systemer
Medarbejderkonti	16.123, heraf 33 med højeste administratorrettigheder	Risiko for videre adgang og intern svindel
Leveringsmodtagere	18.913 med navn og fysisk adresse	Personoplysninger om slutkunder
Kvitterede leveringsbeviser	64.665 fordelt på 214.107 dokumenter	Underskrifter og dokumentation for varestrømme
Lagerdata og ordrer	14,44 mio. lagerlinjer, 189.248 indkøbsordrer, 334.432 forsendelsesadviseringer	Forretningshemmeligheder om kunder, mængder og leverandører
Logfiler fra mobile enheder	27.842 med telefonnumre, e-mailadresser og IMEI-numre	Målrettet phishing og identifikation af enheder

Derfor rammer sagen også Maersks kunder

Med bekræftelsen er spørgsmålet ikke længere hypotetisk for de virksomheder, der har data liggende på den ramte platform. I kontraktlogistik ligger kundernes egne data hos logistikudbyderen i form af modtagernavne, adresser, ordrer og lagerbeholdninger. Hvor udbyderen behandler personoplysninger på kundens vegne, er kunden typisk dataansvarlig og udbyderen databehandler. Efter databeskyttelsesforordningens artikel 33, stk. 2, skal databehandleren underrette kunden uden unødig forsinkelse, og derefter løber kundens egen frist.

Fristen over for Datatilsynet er som udgangspunkt 72 timer, regnet fra det tidspunkt hvor den dataansvarlige får kendskab til bruddet. Datatilsynet accepterer kun en undladt anmeldelse, når en risiko for de berørte personer er usandsynlig. Er risikoen høj, skal de berørte personer også selv have besked efter artikel 34. Digitaliseringsstyrelsen opererer for virksomheder under NIS 2-loven med en tidslinje med tidlig varsling inden 24 timer, hændelsesunderretning inden 72 timer og endelig rapport inden en måned.

DI’s NIS2-guide behandler de to regelsæt som adskilte spor, så en underretning efter det ene ikke fritager for det andet, når personoplysninger er involveret. Det ramte system bruges ifølge Maersk kun lokalt, så det afgørende bliver, hvor de registrerede og de dataansvarlige befinder sig. Uden for EU gælder lokale regler med egne frister, og vurderingen skal foretages land for land. Den mest nærliggende risiko er dog svindel. CyPro advarer om falske beskeder om forsinket gods, ændrede betalingsoplysninger og nulstilling af konti, som kan virke troværdige alene på grund af omtalen. Den faste kontaktperson hos Maersk er ifølge The Register rette sted at få efterprøvet uventede henvendelser i koncernens navn.

Medarbejderkriminalitet: Når tippet til hackerne betales i kryptovaluta

Det mest oversete spor i sagen er det menneskelige. Ifølge Ingeniøren søger WhiteArmor åbent efter ansatte i større virksomheder, som mod betaling vil skaffe adgang til interne systemer. I Maersk sagen har ingen offentlig kilde påvist en medarbejders medvirken, og adgangsvejen er fortsat ukendt. Modellen er dog velkendt: Hackerne behøver ikke bryde ind, hvis en ansat lukker dem ind, og betalingen falder i kryptovaluta til en wallet, som medarbejderen selv råder over.

Rapid7 beskriver rekrutteringen som et egentligt salgsarbejde, hvor særlige kontaktpersoner lokker med en andel af løsesummen og et forskud i bitcoin, der skal bevise, at gruppen betaler. BBC journalisten Joe Tidy så i 2025 sin lovede andel vokse fra 15 til 25 pct. af løsesummen, da Medusa gruppen forsøgte at købe hans login. Selv et sikkerhedsfirma som CrowdStrike blev ramt i november 2025, hvor en insider mistede jobbet for at have delt billeder af sin skærm med hackere, som bagefter pralede med at have betalt 25.000 dollar. Virksomheden lod det ikke blive ved fyringen, men gik videre til de retshåndhævende myndigheder.

Dyrest er eksemplet fra kryptobørsen Coinbase i 2025: bestukne supportmedarbejdere i udlandet, oplysninger om 69.461 kunder i fremmede hænder, et afpresningskrav på 20 mio. dollar og en ventet regning på 180 til 400 mio. dollar. Det skriver Rapid7.

Et tip er ikke en gråzone

Mange medarbejdere vil opfatte et tip, et skærmbillede eller et udlånt login som en lille tjeneste, men efter dansk ret kan der være tale om flere selvstændige forbrydelser på én gang, og tilsvarende regler findes i de fleste jurisdiktioner. Tabellen viser de bestemmelser, der typisk kommer i spil, og hvilken der anvendes, afhænger af den konkrete sag. Dertil kommer, at udbyttet kan konfiskeres efter straffelovens § 75, og at forholdet ansættelsesretligt er en grov misligholdelse, som berettiger bortvisning uden varsel. Arbejdsgiveren kan desuden kræve erstatning for et tab, som hurtigt overstiger alt, hvad medarbejderen har fået udbetalt.

Medarbejderens handling	Regel	Strafferamme
Lukker hackere ind eller udleverer login	Straffelovens § 263 og § 263 a, jf. § 23 om medvirken	Bøde eller op til 1½ års fængsel, op til 6 år ved erhvervshemmeligheder eller systematisk og organiseret karakter
Tager imod betaling for at svigte arbejdsgiveren	Straffelovens § 299, stk. 2, om bestikkelse i private forhold	Bøde eller op til 4 års fængsel
Medvirker til selve afpresningen	Straffelovens § 281, jf. §§ 285 og 286	Op til 1½ års fængsel, op til 6 år ved systematisk eller organiseret afpresning
Modtager, flytter eller veksler betalingen	Straffelovens § 290 a om hvidvask	Bøde eller op til 1½ års fængsel, op til 8 år i særligt grove tilfælde
Udleverer forretningshemmeligheder	Lov om forretningshemmeligheder § 4 og straffelovens § 299 a	Op til 6 års fængsel under særligt skærpende omstændigheder 27 kapitel +4

En Wallet er ikke et skjulested

Kryptovaluta vælges, fordi betalingen kan sendes over grænser uden om banken, men anonymiteten er mindre, end mange tror. Transaktionerne ligger permanent og offentligt på blockchainen, og pengene skal før eller siden veksles hos en udbyder med krav om kundekendskab. Overførsler fra en selvhostet adresse udløser siden den 30. december 2024 identitetskontrol, analyse af midlernes oprindelse og skærpet overvågning hos danske udbydere af krypto services. Den medarbejder, der veksler sit honorar til kroner eller euro, efterlader dermed et spor, som kan følges fra afpressernes adresse til en konto i eget navn. For arbejdsgiveren betyder det, at wallet adresser fra afpresningskorrespondancen bør sikres som bevis og overgives til politiet.

Sådan lukker virksomheden hullet

Forsvaret mod den købte medarbejder er både teknisk og juridisk. Rapid7 peger på en kultur, hvor ansatte trygt kan melde rekrutteringsforsøg, på login der ikke kan phishes, på færre privilegerede adgange og på adfærdsanalyse, som fanger logins uden for arbejdstid og usædvanlige dataudtræk. Juridisk bør ansættelseskontrakter og interne retningslinjer udtrykkeligt forbyde deling af adgange og pålægge medarbejderen at indberette henvendelser fra fremmede, og whistleblowerordningen bør kunne tage imod den slags indberetninger. Overvågning af medarbejderes adfærd skal holdes inden for databeskyttelsesreglerne og fremgå af retningslinjerne. Coinbase sagen viser desuden, at insideren lige så vel kan sidde hos en leverandør, så de samme krav bør stilles kontraktuelt til alle med adgang til systemer og kundedata.

Hvad virksomheder bør gøre nu

Virksomheder med data på den ramte platform bør bede Maersk om en skriftlig status på, om deres data indgår i udtrækket, og selv dokumentere deres vurdering. Datatilsynets praksis forudsætter intern dokumentation af ethvert brud, uanset om det ender med en anmeldelse. Flere af skridtene i tabellen går igen i CyPros anbefalinger om at følge Maersks officielle meddelelser, skærpe kontrollen med betalingsændringer og gennemgå logfiler. Betaling af løsesum er sjældent en løsning. Den giver ingen sikkerhed for, at data slettes, den finansierer næste angreb, og den kan rejse selvstændige spørgsmål om sanktioner og hvidvask, hvis modtageren er omfattet af sanktionslister. lovguidencypro

Område	Handling	Formål
Sårbarheds- og Penetrationsscanning.	Scan inde fra på samtlige porte og IP adresser, interne som offentlige	At finde bagdøre og sikkerhedshuller som er blevet installeret.
Ændringer i Firewall der udelukket uvedkommende	Ændringer i Firewall på specifikke adgange f.eks. VPN, Loginsteder og IP adresser, der dermed kun siger hvilke IP adresser som har tilladelse.	At lave sikkerhed for alle logins i hele koncernen. Her kan hjemmearbejde også være en risiko. Disse IP adresser kan inkluderer dobbeltsikring i login f.eks. SMS, Mail, QR kode m.v.
Adgange	Skift adgangskoder og nøgler til Maersks logistikportaler og slå flerfaktorlogin til	Påstanden om adgangskoder i klartekst gør genbrug farligt
Betalinger	Bekræft enhver ændring af kontonummer eller betalingsinstruks ad en kendt kanal	Værn mod fakturasvindel og falske leverandørhenvendelser
Kontrakter	Gennemgå databehandleraftale og logistikkontrakt for underretningsfrister, revisionsret og ansvar	Afklarer hvem der skal anmelde hvad og hvornår
Dokumentation	Registrer vurderingen internt, også hvis konklusionen er, at der ikke skal anmeldes	Dokumentationspligt over for tilsynsmyndigheden
Medarbejdere	Advar indkøb, logistik og økonomi om henvendelser, der henviser til sagen	Forebygger social engineering
Overvågning	Følg Maersks officielle meddelelser og gennemgå logfiler for usædvanlige logins	Tidlig opdagelse af misbrug
Opkøbte systemer	Kortlæg ældre systemer fra tilkøbte selskaber og udfas eller isoler dem	Arvede systemer falder ofte uden for koncernens sikkerhedsstandard

Afsender ID

Kilde:	Ingeniøren, Version2, The Sidechannel, The Register, Splash247, Container News, Risky Bulletin, CyPro, Rapid7, SecurityWeek, Dataconomy, Datatilsynet, Digitaliseringsstyrelsen, DI, Lovguiden, Retsinformation, Jesper Christiansen, ICARE SECURITY A/S.
Kildelinks:	https://ing.dk/artikel/maersk-bekraefter-datalaek-efter-ingenioerens-afsloering-her-broed-hackerne-ind https://lovguiden.dk/det-offentlige/datatilsynet/2023-08-31-datatilsynet-foerer-tilsyn-med-kommuners-og-bankers-gdpr-haandtering
Fotokredit:	stock.adobe.com
Personer/Firmaer/Emner/#:	#Maersk, #A.P. Møller Mærsk, #LF Logistics, #WhiteArmor, #Thomas Wilkans, #Lab-1, #Ingeniøren, #Version2, #Jyske Bank, #Haider Ajnum, #Datatyveri, #Datalæk, #Afpresning, #Ransomware, #Bitcoin, #Kryptovaluta, #Wallet, #Medarbejderkriminalitet, #Insidertrussel, #Bestikkelse, #Hvidvask, #Straffeloven, #Medusa, #BBC, #Joe Tidy, #CrowdStrike, #Coinbase, #Whistleblowerordning, #Personoplysninger, #Cybersikkerhed, #GDPR, #NIS2, #Datatilsynet, #Kontraktlogistik, #Virksomhedsopkøb, #Fakturasvindel, #Databehandleraftale
Copyrights:	Ⓒ 2026 Copyright by https://ICARE.DK/maersk-datalaek-whitearmor-afpresning/ – kan deles ved aktivt link til denne artikel.