Aufmacher · Ransomware
Vierzig maritime Opfer, eine Uhr: Die Hafendaten von N0n laufen allesamt am 19. Oktober um 13:27 UTC ab
Busan, Algeciras, Santos, Kandla, Tanger, Kuwait – binnen Minuten gelistet, als EDI-Archive beschrieben und alle auf dieselbe Minute heruntergezählt.
Binnen etwa vierzig Minuten stellte N0n am Montagnachmittag eine Karte von Handelsrouten als Opferliste ein: Pusan Newport, BNCT Busan, TTI Algeciras, Santos Brasil, Portonave, Superterminais, NCT Kandla, Eurogate Tanger, Nam Dinh Vu, GCS Kuwait, NEOM Ports, Ocean Network Express, ZPMC, Asyaport. Die Gruppe verzeichnete am 12. Oktober 91 Einträge, an anderen Tagen im Median 25. Jeder maritime Eintrag trägt dieselbe Zeile: NOT PAID — EXPOSED: files publish 2026-10-19 13:27 UTC.
Entscheidend ist, was die Einträge als Daten ausweisen. Keine Personalordner, keine Finanzlaufwerke: operative EDI-Archive – Containermanifeste (BAPLIE), Gate-Bewegungen (CODECO), Buchungsnachrichten (COPARN) – sowie Datenbankskripte von Terminal-Betriebssystemen und, im Eintrag zu Korea Ferry, interne Mitarbeiterkontodaten samt Klartext-Zugangsdaten. Zwei der Opfer, GNCNet / DGT Busan und GCS Kuwait, sind überhaupt keine Reedereien. Sie sind die IT der Hafengemeinschaft, an die alle anderen angeschlossen sind.
Vierzig getrennte Einbrüche in acht Ländern enden nicht in derselben Minute. Eine vorgelagerte Plattform schon. Diese Schlussfolgerung ist unsere eigene und nicht bewiesen – die Feeds zeigen Listings, keine Forensik –, aber sie ist die naheliegendste Erklärung, und sie verändert, was Sie heute Morgen tun sollten. Atlas führt N0n mit steigender Aktivität in KR, ID, BR und im Transportsektor – so sieht ein Lieferantenvorfall von außen aus: eine Geografie, die keinen Sinn ergibt, bis man erkennt, dass man eine Kundenliste vor sich hat.
Warum es wichtig istWer Container bewegt, ist wahrscheinlich Kunde einer dieser Plattformen; fragen Sie Ihre Port-Community- und EDI-Anbieter noch heute, was passiert ist, bevor der 19. für sie antwortet.