L'11 de novembre Maersk va confirmar un incident de seguretat, i la frase que importa no descriu l'atac: descriu el lloc. L'accés no autoritzat i l'extracció de dades es van produir en un sistema local antic que la companyia descriu com a procedent «from a previous acquisition». No pas l'ERP. No pas el correu. No pas la plataforma que mou els contenidors. Una màquina que un dia va ser d'una altra empresa i que, quan va canviar d'amo, no va canviar de responsable.
Nosaltres no movem contenidors, i tu probablement tampoc. Però aquest sistema l'hem vist en empreses de vint persones: el servidor que va arribar quan es va absorbir una delegació, la màquina que va deixar muntada el proveïdor que se'n va anar, l'aplicatiu que havia de ser-hi sis mesos i fa nou anys que està encès. Sempre té la mateixa biografia: funciona, ningú no el mira i no és a cap llista. I quan passa alguna cosa a dins, els terminis de notificació corren igual que si hagués passat a la teva màquina de sempre. El rellotge no pregunta de qui era el servidor.
El que diu la companyia i el que només diu qui extorsiona
Convé separar les dues columnes abans de treure conclusions, perquè gairebé tot el soroll d'aquests dies les barreja.
Confirmat per la companyia (11-11-2026)
- ✓Hi va haver accés no autoritzat i extracció de dades d'un sistema local heretat d'una adquisició anterior.
- ✓«The incident is isolated to a local system, and we have found no indication that there has been any impact on other Maersk systems or customer and partner systems that connect to Maersk through integrations such as APIs and EDI». És a dir: l'incident queda acotat a aquella màquina i no hi ha indici que hagi tocat clients ni socis.
- ✓Les troballes preliminars «strongly suggest no sensitive data has been disclosed» i no s'anticipen interrupcions d'operació.
Reclamat, sense verificar (llistat del 07-11-2026)
- ?Un grup d'extorsió nou i poc conegut va publicar quatre dies abans de la confirmació un llistat reclamant uns 100 GB de «your OCF / LF Logistics platform» i exigint 5 milions de dòlars en un termini de 30 dies.
- ?El mateix llistat presumeix de 29.297 registres de transportistes, 16.093 amb contrasenya en clar, i de 16.123 comptes de personal amb 33 d'administrador total. És una reclamació de qui demana un rescat, no un fet: els inventaris d'extorsió s'inflen i es reciclen. El tractem com el que és, una pista sobre quin tipus de plataforma era.
Les dues columnes poden ser certes alhora. «No s'ha divulgat informació sensible» i «van sortir dades d'aquí» caben a la mateixa setmana, i tot i així deixen feina: algú ha de demostrar què hi havia exactament en aquella màquina. Si no està inventariada, aquesta demostració comença per reconstruir-la des de zero, en calent i amb el rellotge corrent.
Tres dates públiques i una que no es publica mai
Posades en fila, les dates expliquen la història millor que qualsevol anàlisi:
| Data | Què va passar |
|---|---|
| 31-08-2022 | Es tanca la compra de LF Logistics per 3.600 milions de dòlars. Entren 223 magatzems a la cartera. |
| 07-11-2026 | Apareix el llistat d'extorsió assenyalant la plataforma heretada pel seu nom. |
| 11-11-2026 | La companyia confirma l'incident i l'acota a aquell sistema local. |
| ? | La data de detecció. No és pública, i és l'única que governa els terminis legals. |
Entre la primera i la tercera hi ha quatre anys, dos mesos i onze dies. Aquest és el temps que un sistema pot viure dins d'un grup sense que ningú no el reclami. No perquè la integració fos dolenta: perquè tota integració prioritza el que factura —finances, comandes, correu, nòmines— i deixa per a «més endavant» el que no es veu. En 223 magatzems hi ha moltíssim «més endavant».
Per què el sistema heretat és el més fràgil del parc
No és mala sort, és estructural. Un sistema que arriba de fora se salta, un per un, tots els controls que tu apliques al que muntes tu:
- 1No és a l'inventari, perquè l'inventari el vas fer tu amb les teves màquines. El que no és a la llista no entra al cicle de pedaços, ni al de revisió d'accessos, ni a l'abast d'una auditoria.
- 2Té comptes locals creats abans que existís el teu directori. Ningú no els revoca quan algú marxa, perquè ningú no sap que hi són.
- 3No l'apaga ningú, perquè ningú no sap què es trenca si l'apaga. Aquest dubte és el que li dóna immunitat permanent.
- 4Sol quedar fora de l'agent de seguretat i del monitoratge, que es despleguen per plantilla sobre el parc conegut.
- 5I per tant és fora del pla de recuperació. Un sistema que no entra al backup tampoc no entra al simulacre, i el dia que calgui restaurar-lo ningú no haurà assajat com. Un backup sense provar no és un backup: és un amulet.
Ho repetim sovint perquè és l'eix de tot el que fem: la fallada és inevitable, l'avaria és una decisió de disseny. Un disc que mor en una màquina replicada és paperassa de manteniment; el mateix disc en la màquina heretada que ningú no mira és una setmana molt llarga.
El rellotge de la notificació no pregunta de qui era la màquina
Aquí és on l'assumpte deixa de ser tècnic. Si en aquell sistema hi havia dades personals, l'article 33 del RGPD t'obliga a notificar-ho a l'autoritat de control —l'AEPD, a Espanya— sense dilació indeguda i, si és possible, en 72 hores des que en tens constància, llevat que sigui improbable que la bretxa comporti un risc. No 72 hores des que entens què va passar: des que ho saps. I la notificació demana descriure quines categories de dades i quants interessats aproximadament estan afectats. Aquesta frase, aplicada a una màquina sense inventariar, és la part cara de l'incident.
Si a més estàs dins l'abast de la NIS2, l'article 23 hi afegeix un rellotge esglaonat: alerta primerenca en 24 hores, notificació en 72 i un informe final al cap d'un mes. I aquí ve el matís espanyol que molta gent fa servir com a excusa: la NIS2 encara no és llei a Espanya. El termini de transposició va vèncer el 17 d'octubre de 2024, i el 8 de juliol de 2026 la Comissió Europea va portar Espanya —amb Irlanda, França i els Països Baixos— davant el Tribunal de Justícia, demanant una suma a tant alçat i una multa diària fins que es transposi.
Que no hi hagi llei nova no vol dir que no hi hagi obligacions. El Reial decret llei 12/2018 i el Reial decret 43/2021 segueixen vigents, amb el seu deure de notificar incidents a través del CSIRT de referència sense dilació indeguda, i el RGPD no ha estat mai en pausa. Esperar la llei per començar a inventariar és esperar l'examen per comprar els apunts. No som advocats i això no és assessorament legal: és la lectura operativa de qui ha de preparar aquella notificació a les tres de la matinada.
I hi ha una via molt més ràpida que el BOE perquè això t'arribi: el qüestionari del teu client. Ho vam explicar en el seu moment a NIS2 a Espanya: la llei encara no hi és, el qüestionari del teu client sí, i continua sent així. Qui et compra ja et pregunta pel teu inventari d'actius encara que el legislador no ho hagi fet.
Les sis preguntes que fem en entrar en una infraestructura heretada
No és una auditoria de 200 controls. Són sis preguntes que, en una tarda, et diuen si tens un problema o només un trasto vell. El que importa de cadascuna és la forma de la resposta: si és un nom i una data, bé; si és «això ho portava el noi d'abans», tens feina.
- →Què hi ha encès que no sigui a la llista? Es respon creuant l'inventari amb el que de debò contesta a la xarxa, no llegint l'inventari. Nosaltres portem això a NetBox com a font de veritat precisament perquè el full de càlcul heretat sempre menteix per omissió.
- →Qui —nom i cognom, no departament— autoritza apagar aquella màquina? Si no hi ha nom, no hi ha amo, i sense amo no hi ha ni pedaços ni decisions.
- →Quins comptes té a dins que no siguin al teu directori? Comptes locals, de servei i d'integració. Els que sobreviuen a una adquisició solen tenir permisos d'administrador i contrasenya del 2014.
- →Per on parla? Sortida a Internet, VPN de l'antic proveïdor, túnels oblidats, VLAN plana amb la resta. Un sistema aïllat de debò és un problema acotat; un que comparteix xarxa amb producció, no.
- →Entra al backup i a l'últim simulacre cronometrat? El nostre darrer assaig de recuperació completa van ser 14 minuts —dada interna nostra, una prova, no una promesa contractual—. El que no s'ha restaurat mai no té cap número al darrere.
- →De qui són les dades que guarda i qui notifica si marxen? En una compra heretes les dades i també els papers: els clients de l'empresa comprada van signar amb una altra raó social, i els rols del RGPD no s'evaporen a l'escriptura. Aquesta pregunta es contesta amb el contracte al davant, no amb el
df -h.
La mateixa empresa, dues avaries que no s'assemblen gens
Aquesta companyia ja és un clàssic de les presentacions de resiliència pel que va passar el 2017: NotPetya li va costar, segons va explicar el seu propi president a Davos, entre 250 i 300 milions de dòlars, i la reconstrucció que es va relatar llavors van ser 4.000 servidors, 45.000 PC i 2.500 aplicacions aixecades en deu dies. Allò va aturar el negoci: terminals de contenidors a mà, vaixells esperant.
El d'aquesta setmana és de l'altre tipus, i per això és més útil com a exemple: no ha aturat ni un vaixell. Ningú no explicarà això en una xerrada amb fotos de grues aturades. I tot i així obre investigació forense, obligacions de notificació, trucades de clients preguntant si les seves dades hi eren i una pregunta incòmoda al proper consell. Hi ha una tercera categoria entre la fallada i l'avaria: l'incident que no t'atura, però t'obliga. Per a aquest no serveix tenir redundància; serveix saber què tens.
Quan NO cal tocar res
No tot sistema heretat mereix un projecte de migració, i vendre-te'n un seria el fàcil. Si aquella màquina no guarda dades personals, no té credencials que serveixin en un altre lloc, no parla amb Internet ni amb la xarxa corporativa, i la seva funció s'entén, la resposta correcta és barata: documenta-la, posa-la a l'inventari amb amo i data de revisió, deixa-la a la seva VLAN i continua amb la teva vida. L'error no és tenir un sistema vell; l'error és no saber que el tens.
I el revers: tampoc no corris a apagar-la el divendres a la tarda per treure't el problema de sobre. Apagar a cegues un sistema del qual penja un procés que no has mapejat és, literalment, triar tu l'avaria. Primer es mira qui li parla; després es decideix.
El que compres quan compres una empresa
Compres la seva cartera, la seva gent i els seus magatzems. També compres els seus servidors sense amo, els seus comptes locals, els seus contractes de tractament de dades i el seu deute de manteniment. El primer surt a la valoració; el segon apareix quatre anys després, un dissabte, en un llistat d'extorsió. Entre una cosa i l'altra només hi ha un inventari honest i algú amb un nom al costat de cada màquina. És feina avorrida, i és exactament el que separa un incident d'una crisi.
A everyWAN muntem aquest inventari i el pla que el sosté com a part de compliment i continuïtat, i ens quedem després a mantenir el que queda encès amb manteniment informàtic. No per la foto del quadre de comandaments: perquè el dia que calgui escriure una notificació en 72 hores, la diferència entre tenir-ho i no tenir-ho són les 72 hores.
Fonts (verificades l'11-11-2026): declaracions de Maersk sobre l'incident i el sistema local heretat, que la companyia descriu com a procedent «from a previous acquisition» — The Register i Container News; llistat d'extorsió del 07-11-2026 (100 GB reclamats, 5 M$, 30 dies, menció literal a «your OCF / LF Logistics platform»), recollit per la cobertura del sector i pels rastrejadors públics de llocs d'extorsió; tancament de la compra de LF Logistics el 31-08-2022 per 3.600 M$ i 223 magatzems — maersk.com; remissió d'Espanya al TJUE per la NIS2 el 08-07-2026 i termini de transposició del 17-10-2024 — Comissió Europea; obligació de notificar en 72 h — art. 33 del RGPD; terminis de 24 h / 72 h / 1 mes — art. 23 de la Directiva NIS2; marc espanyol vigent — Reial decret 43/2021. Foto de portada: «Warehouse filled with stacked pallets…», de Shixart1985, CC BY 2.0, via Wikimedia Commons (retallada).
Sabries dir avui què hi ha encès a la teva xarxa i qui en respon de cada cosa?
Fem aquest inventari, posem amo a cada màquina i deixem escrit qui notifica què i en quant de temps. Sense projecte etern: començant pel que no és a cap llista.
Parlar amb everyWAN
Microsoft 365
ES 
CAT 
EN