El 11 de noviembre Maersk confirmó un incidente de seguridad, y la frase que importa no describe el ataque: describe el sitio. El acceso no autorizado y la extracción de datos se produjeron en un sistema local antiguo que la compañía describe como procedente «from a previous acquisition». No el ERP. No el correo. No la plataforma que mueve los contenedores. Una máquina que un día fue de otra empresa y que, cuando cambió de dueño, no cambió de responsable.
Nosotros no movemos contenedores, y tú probablemente tampoco. Pero ese sistema lo hemos visto en empresas de veinte personas: el servidor que llegó cuando se absorbió una delegación, la máquina que dejó montada el proveedor que se fue, el aplicativo que iba a estar seis meses y lleva nueve años encendido. Siempre tiene la misma biografía: funciona, nadie lo mira y no está en ninguna lista. Y cuando pasa algo dentro, los plazos de notificación corren igual que si hubiera pasado en tu máquina de siempre. El reloj no pregunta de quién era el servidor.
Lo que dice la compañía y lo que solo dice quien extorsiona
Conviene separar las dos columnas antes de sacar conclusiones, porque casi todo el ruido de estos días mezcla las dos.
Confirmado por la compañía (11-11-2026)
- ✓Hubo acceso no autorizado y extracción de datos de un sistema local heredado de una adquisición anterior.
- ✓«The incident is isolated to a local system, and we have found no indication that there has been any impact on other Maersk systems or customer and partner systems that connect to Maersk through integrations such as APIs and EDI». Es decir: el incidente queda acotado a esa máquina y no hay indicio de que haya tocado a clientes ni a socios.
- ✓Los hallazgos preliminares «strongly suggest no sensitive data has been disclosed» y no se anticipan interrupciones de operación.
Reclamado, sin verificar (listado del 07-11-2026)
- ?Un grupo de extorsión nuevo y poco conocido publicó cuatro días antes de la confirmación un listado reclamando unos 100 GB de «your OCF / LF Logistics platform» y exigiendo 5 millones de dólares en un plazo de 30 días.
- ?El propio listado presume de 29.297 registros de transportistas, 16.093 de ellos con contraseña en claro, y de 16.123 cuentas de personal con 33 de administrador total. Es una reclamación de quien pide un rescate, no un hecho: los inventarios de extorsión se inflan y se reciclan. Lo tratamos como lo que es, una pista sobre qué tipo de plataforma era.
Las dos columnas pueden ser ciertas a la vez. «No se ha divulgado información sensible» y «salieron datos de ahí» caben en la misma semana, y aun así dejan trabajo: alguien tiene que demostrar qué había exactamente en esa máquina. Si no está inventariada, esa demostración empieza por reconstruirla desde cero, en caliente y con el reloj corriendo.
Tres fechas públicas y una que no se publica nunca
Puestas en fila, las fechas cuentan la historia mejor que cualquier análisis:
| Fecha | Qué pasó |
|---|---|
| 31-08-2022 | Se cierra la compra de LF Logistics por 3.600 millones de dólares. Entran 223 almacenes en la cartera. |
| 07-11-2026 | Aparece el listado de extorsión señalando la plataforma heredada por nombre. |
| 11-11-2026 | La compañía confirma el incidente y lo acota a ese sistema local. |
| ? | La fecha de detección. No es pública, y es la única que gobierna los plazos legales. |
Entre la primera y la tercera hay cuatro años, dos meses y once días. Ese es el tiempo que un sistema puede vivir dentro de un grupo sin que nadie lo reclame. No porque la integración fuera mala: porque toda integración prioriza lo que factura —finanzas, pedidos, correo, nóminas— y deja para «más adelante» lo que no se ve. En 223 almacenes hay muchísimo «más adelante».
Por qué el sistema heredado es el más frágil del parque
No es mala suerte, es estructural. Un sistema que llega de fuera se salta, uno por uno, todos los controles que tú aplicas a lo que montas tú:
- 1No está en el inventario, porque el inventario lo hiciste tú con tus máquinas. Lo que no está en la lista no entra en el ciclo de parches, ni en el de revisión de accesos, ni en el alcance de una auditoría.
- 2Tiene cuentas locales creadas antes de que existiera tu directorio. Nadie las revoca cuando se va alguien, porque nadie sabe que están.
- 3No lo apaga nadie, porque nadie sabe qué se rompe si lo apaga. Esa duda es la que le da inmunidad permanente.
- 4Suele quedar fuera del agente de seguridad y de la monitorización, que se despliegan por plantilla sobre el parque conocido.
- 5Y por tanto está fuera del plan de recuperación. Un sistema que no entra en el backup tampoco entra en el simulacro, y el día que haga falta restaurarlo nadie habrá ensayado cómo. Un backup sin probar no es un backup: es un amuleto.
Lo repetimos a menudo porque es el eje de todo lo que hacemos: el fallo es inevitable, la avería es una decisión de diseño. Un disco que muere en una máquina replicada es papeleo de mantenimiento; el mismo disco en la máquina heredada que nadie mira es una semana muy larga.
El reloj de la notificación no pregunta de quién era la máquina
Aquí es donde el asunto deja de ser técnico. Si en ese sistema había datos personales, el artículo 33 del RGPD te obliga a notificar a la autoridad de control —la AEPD, en España— sin dilación indebida y, de ser posible, en 72 horas desde que tienes constancia, salvo que sea improbable que la brecha entrañe un riesgo. No 72 horas desde que entiendes lo que pasó: desde que lo sabes. Y la notificación pide describir qué categorías de datos y cuántos interesados aproximadamente están afectados. Esa frase, aplicada a una máquina sin inventariar, es la parte cara del incidente.
Si además estás en el alcance de NIS2, el artículo 23 añade un reloj escalonado: alerta temprana en 24 horas, notificación en 72 y un informe final al mes. Y aquí viene el matiz español que mucha gente usa como excusa: NIS2 todavía no es ley en España. El plazo de transposición venció el 17 de octubre de 2024, y el 8 de julio de 2026 la Comisión Europea llevó a España —junto a Irlanda, Francia y Países Bajos— ante el Tribunal de Justicia, pidiendo una suma a tanto alzado y una multa diaria hasta que se transponga.
Que no haya ley nueva no significa que no haya obligaciones. El Real Decreto-ley 12/2018 y el Real Decreto 43/2021 siguen vigentes, con su deber de notificar incidentes a través del CSIRT de referencia sin dilación indebida, y el RGPD no ha estado nunca en pausa. Esperar a la ley para empezar a inventariar es esperar al examen para comprar los apuntes. No somos abogados y esto no es asesoramiento legal: es la lectura operativa de quien tiene que preparar esa notificación a las tres de la mañana.
Y hay una vía mucho más rápida que el BOE para que esto te llegue: el cuestionario de tu cliente. Lo contamos en su día en NIS2 en España: la ley aún no está, el cuestionario de tu cliente sí, y sigue siendo así. Quien te compra ya te pregunta por tu inventario de activos aunque el legislador aún no lo haya hecho.
Las seis preguntas que hacemos al entrar en una infraestructura heredada
No es una auditoría de 200 controles. Son seis preguntas que, en una tarde, te dicen si tienes un problema o solo un trasto viejo. Lo que importa de cada una es la forma de la respuesta: si es un nombre y una fecha, bien; si es «eso lo llevaba el chico de antes», tienes trabajo.
- →¿Qué hay encendido que no esté en la lista? Se responde cruzando el inventario con lo que de verdad contesta en la red, no leyendo el inventario. Nosotros llevamos esto en NetBox como fuente de verdad precisamente porque la hoja de cálculo heredada siempre miente por omisión.
- →¿Quién —nombre y apellido, no departamento— autoriza apagar esa máquina? Si no hay nombre, no hay dueño, y sin dueño no hay ni parches ni decisiones.
- →¿Qué cuentas tiene dentro que no estén en tu directorio? Cuentas locales, de servicio y de integración. Las que sobreviven a una adquisición suelen tener permisos de administrador y contraseña de 2014.
- →¿Por dónde habla? Salida a Internet, VPN del antiguo proveedor, túneles olvidados, VLAN plana con el resto. Un sistema aislado de verdad es un problema acotado; uno que comparte red con producción, no.
- →¿Entra en el backup y en el último simulacro cronometrado? Nuestro último ensayo de recuperación completa fueron 14 minutos —dato interno nuestro, una prueba, no una promesa contractual—. Lo que nunca se ha restaurado no tiene ningún número detrás.
- →¿De quién son los datos que guarda y quién notifica si se van? En una compra heredas los datos y también los papeles: los clientes de la empresa comprada firmaron con otra razón social, y los roles del RGPD no se evaporan en la escritura. Esta pregunta se contesta con el contrato delante, no con el
df -h.
La misma empresa, dos averías que no se parecen en nada
Esta compañía ya es un clásico de las presentaciones de resiliencia por lo de 2017: NotPetya le costó, según contó su propio presidente en Davos, entre 250 y 300 millones de dólares, y la reconstrucción que se relató entonces fueron 4.000 servidores, 45.000 PC y 2.500 aplicaciones levantadas en diez días. Aquello paró el negocio: terminales de contenedores a mano, barcos esperando.
Lo de esta semana es del otro tipo, y por eso es más útil como ejemplo: no ha parado ni un barco. Nadie va a contar esto en una charla con fotos de grúas paradas. Y aun así abre investigación forense, obligaciones de notificación, llamadas de clientes preguntando si sus datos estaban ahí y una pregunta incómoda en el próximo consejo. Hay una tercera categoría entre el fallo y la avería: el incidente que no te para, pero te obliga. Para ese no sirve tener redundancia; sirve saber qué tienes.
Cuándo NO hay que tocar nada
No todo sistema heredado merece un proyecto de migración, y venderte uno sería lo fácil. Si esa máquina no guarda datos personales, no tiene credenciales que sirvan en otro sitio, no habla con Internet ni con la red corporativa, y su función se entiende, la respuesta correcta es barata: documéntala, métela en el inventario con dueño y fecha de revisión, déjala en su VLAN y sigue con tu vida. El error no es tener un sistema viejo; el error es no saber que lo tienes.
Y el reverso: tampoco corras a apagarla el viernes por la tarde para quitarte el problema de encima. Apagar a ciegas un sistema del que cuelga un proceso que no has mapeado es, literalmente, elegir tú la avería. Primero se mira quién le habla; después se decide.
Lo que compras cuando compras una empresa
Compras su cartera, su gente y sus almacenes. También compras sus servidores sin dueño, sus cuentas locales, sus contratos de tratamiento de datos y su deuda de mantenimiento. Lo primero sale en la valoración; lo segundo aparece cuatro años después, un sábado, en un listado de extorsión. Entre una cosa y otra solo hay un inventario honesto y alguien con un nombre al lado de cada máquina. Es trabajo aburrido, y es exactamente lo que separa un incidente de una crisis.
En everyWAN montamos ese inventario y el plan que lo sostiene como parte de cumplimiento y continuidad, y nos quedamos después a mantener lo que queda encendido con mantenimiento informático. No por la foto del cuadro de mandos: porque el día que haya que escribir una notificación en 72 horas, la diferencia entre tenerlo y no tenerlo son las 72 horas.
Fuentes (verificadas el 11-11-2026): declaraciones de Maersk sobre el incidente y el sistema local heredado, que la compañía describe como procedente «from a previous acquisition» — The Register y Container News; listado de extorsión del 07-11-2026 (100 GB reclamados, 5 M$, 30 días, mención literal a «your OCF / LF Logistics platform»), recogido por la cobertura del sector y por los rastreadores públicos de sitios de extorsión; cierre de la compra de LF Logistics el 31-08-2022 por 3.600 M$ y 223 almacenes — maersk.com; remisión de España al TJUE por NIS2 el 08-07-2026 y plazo de transposición del 17-10-2024 — Comisión Europea; obligación de notificar en 72 h — art. 33 del RGPD; plazos de 24 h / 72 h / 1 mes — art. 23 de la Directiva NIS2; marco español vigente — Real Decreto 43/2021. Foto de portada: «Warehouse filled with stacked pallets…», de Shixart1985, CC BY 2.0, vía Wikimedia Commons (recortada).
¿Sabrías decir hoy qué hay encendido en tu red y quién responde de cada cosa?
Hacemos ese inventario, le ponemos dueño a cada máquina y dejamos escrito quién notifica qué y en cuánto tiempo. Sin proyecto eterno: empezando por lo que no está en ninguna lista.
Hablar con everyWAN
Microsoft 365
ES 
CAT 
EN