Maersk et NotPetya : l'armateur sauvé par un serveur resté hors ligne au Ghana

Qui était Maersk en juin 2017, et pourquoi son informatique comptait-elle autant ?

En 2017, A.P. Moller-Maersk est un conglomérat danois dont le siège donne sur le port de Copenhague. Selon l'enquête publiée par Wired en août 2018, le groupe compte alors près de 80 000 salariés, 574 bureaux dans 130 pays, 76 terminaux portuaires réunis dans sa filiale APM Terminals et près de 800 navires, soit près d'un cinquième de la capacité mondiale de transport maritime. Computer Weekly, le 30 juin 2017, retient une autre mesure : le groupe manipule un conteneur sur sept expédiés dans le monde.

Ce métier repose sur l'information autant que sur les navires. Une réservation se prend en ligne ou par échange de données informatisé (EDI) ; un camion se présente à la grille d'un terminal, où un lecteur identifie le conteneur et un système attribue sa place dans le parc ; une grue charge ensuite le navire selon un plan qui dépend du fichier de cargaison transmis par le bord. Sans ces fichiers, un terminal ne sait plus quel conteneur sortir d'une pile de plusieurs étages. Wired décrit ainsi le terminal d'Elizabeth, dans le New Jersey, qui reçoit environ 3 000 camions un jour normal.

Le groupe compte aussi, à l'époque, des activités pétrolières et de forage. C'est un point important pour la suite : le rapport intermédiaire du deuxième trimestre 2017, cité par Computer Weekly le 16 août 2017, précise que six de ses neuf activités, dont toutes celles liées à l'énergie, ont continué de fonctionner normalement. L'attaque a frappé le cœur conteneurs du groupe : la ligne maritime Maersk Line, les terminaux d'APM Terminals et le transitaire Damco.

Ce récit s'appuie sur les déclarations publiques de Maersk, reprises par la presse quand les pages de l'entreprise n'étaient pas accessibles, sur l'enquête de Wired, construite à partir de témoignages d'employés et de clients souvent anonymes, et sur les positions officielles des gouvernements britannique et américain. Maersk n'a pas accepté de commenter officiellement l'enquête de Wired, qui l'écrit elle-même. Les faits qui ne reposent que sur ces témoignages sont signalés comme tels.

Comment un logiciel de déclaration fiscale ukrainien a-t-il arrêté un armateur danois ?

M.E.Doc est un logiciel de comptabilité et de déclaration fiscale très répandu en Ukraine ; Wired le compare aux logiciels grand public de déclaration d'impôts américains. Selon l'analyse publiée par ESET le 4 juillet 2017, un module légitime du logiciel a été modifié pour contenir une porte dérobée, activée lors des vérifications de mise à jour. Les chercheurs jugent très improbable que les attaquants aient pu le faire sans accès au code source. La porte dérobée relevait notamment le code d'identification de l'entreprise utilisatrice, ce qui permettait de savoir exactement quelle organisation était infectée.

Le 27 juin 2017, cinq jours après la dernière mise à jour piégée, cette porte dérobée sert à lancer NotPetya. Le logiciel affiche une demande de rançon de 300 dollars en bitcoins, mais l'alerte publiée le 1er juillet 2017 par l'agence américaine de cybersécurité, aujourd'hui appelée CISA, relève qu'il se comporte davantage comme un programme destructeur : il modifie la zone de démarrage du disque pour chiffrer la table des fichiers, puis redémarre la machine, devenue inutilisable. Wired résume : aucune clé de déchiffrement n'existait, et payer ne servait à rien.

Chez Maersk, une seule machine suffit. D'après Wired, un responsable financier du bureau d'Odessa, port ukrainien de la mer Noire, avait demandé aux administrateurs d'installer M.E.Doc sur un seul ordinateur. Cela a suffi. Une fois dans le réseau, NotPetya ne s'arrête pas aux frontières de l'Ukraine, parce que le réseau du groupe est mondial : Wired rapporte que 17 des 76 terminaux sont touchés, de Los Angeles à Algésiras, Rotterdam et Bombay, avec des grilles fermées, des grues à l'arrêt et des dizaines de milliers de camions refoulés.

Le 27 juin, à Copenhague, des employés se présentent au guichet d'assistance avec des écrans noirs ou rouges. En une demi-heure, selon Wired, des techniciens courent dans les couloirs pour faire éteindre les ordinateurs et débrancher les machines en pleine réunion. Déconnecter tout le réseau mondial prend plus de deux heures ; même les téléphones de bureau, qui passent par le réseau, deviennent inutilisables. Dans l'après-midi, une partie du personnel est renvoyée chez elle, faute d'outil pour travailler.

Comment Maersk a-t-il remis son informatique sur pied en dix jours ?

La reconstruction est pilotée depuis Maidenhead, à l'ouest de Londres, où se trouvait la direction des services d'infrastructure du groupe. Selon Wired, deux étages d'un immeuble y deviennent un centre d'opérations ouvert jour et nuit, géré avec le cabinet Deloitte : jusqu'à 200 consultants et 400 employés de Maersk y travaillent en même temps. Tout le matériel d'avant l'attaque est confisqué, par crainte d'une nouvelle infection, et des employés achètent dans les magasins de la ville des ordinateurs portables neufs et des modems mobiles prépayés.

Les équipes retrouvent rapidement des sauvegardes de presque tous les serveurs, datées de trois à sept jours avant l'attaque. Il leur manque l'essentiel : une copie des contrôleurs de domaine, sans laquelle aucun utilisateur ne peut s'authentifier et aucun système ne peut être rebranché. Un employé cité par Wired résume la situation : sans eux, on ne peut rien récupérer. Les administrateurs appellent alors des centaines de collègues dans les centres de données du monde entier pour en trouver un seul intact.

Il est au Ghana. Avant l'attaque, une coupure de courant avait mis ce serveur hors ligne, et il n'avait pas été reconnecté : il contenait la seule copie connue de l'annuaire épargnée par NotPetya. La connexion du bureau ghanéen est trop lente pour transférer plusieurs centaines de gigaoctets vers le Royaume-Uni, et aucun employé sur place n'a de visa britannique. Selon Wired, un salarié prend donc l'avion du Ghana vers le Nigeria, où il remet le disque dur à un collègue qui l'apporte à l'aéroport d'Heathrow.

Le reste suit, à un rythme que le président du groupe qualifiera d'héroïque. D'après le rapport du deuxième trimestre, l'attaque est contenue dès le mercredi 28 juin et le plan de reprise technique est aussitôt engagé ; les clients existants peuvent de nouveau réserver au bout de deux jours, selon CNBC. Environ deux semaines après l'attaque, selon Wired, le siège de Copenhague transforme sa cantine en chaîne de réinstallation où les ordinateurs, alignés par vingt, reçoivent une image neuve de Windows. Tout ce que les salariés avaient stocké sur leur poste est perdu.

Pendant ce temps, l'activité continue à la main. Wired rapporte des commandes prises par des comptes Gmail personnels, par WhatsApp et dans des tableurs Excel ; un client raconte avoir réservé 500 conteneurs par WhatsApp. Jim Hagemann Snabe dira à Davos que le groupe a traité manuellement 80 % de son volume habituel. Le travail de fond n'est pas fini en dix jours pour autant : certains membres de l'équipe de Maidenhead ont travaillé jour et nuit pendant près de deux mois.

Que mesurent ces chiffres, et que laissent-ils de côté ?

Le 16 août 2017, en présentant ses résultats du deuxième trimestre, Søren Skou explique que l'attaque a surtout touché Maersk Line, APM Terminals et Damco, que les volumes ont souffert pendant quelques semaines de juillet et que l'impact se situera entre 200 et 300 millions de dollars, d'après CNBC. Le 7 novembre, avec les résultats du troisième trimestre, la fourchette devient 250 à 300 millions, l'essentiel du coût tombant en juillet et en août. Le groupe maintient pourtant ses prévisions annuelles, portées par la hausse des taux de fret.

Ces montants recouvrent la perte d'activité et la reconstruction, mais pas tout le reste. Wired rapporte que Maersk a remboursé de nombreux clients pour le stockage ou le réacheminement de marchandises bloquées, l'un d'eux évoquant un chèque d'environ un million de dollars pour un avion affrété en urgence. Les transporteurs routiers du port de Newark, eux, n'ont pas été indemnisés : le président de leur association estime à plusieurs dizaines de millions de dollars leurs pertes non remboursées. Le coût pour les chaînes d'approvisionnement de toute la planète n'a jamais été chiffré.

Il y a aussi ce que les tableaux ne montrent pas. Un transitaire raconte à Wired n'avoir reçu, le premier jour, qu'un seul courriel incompréhensible, envoyé depuis le compte Gmail d'un employé débordé, et que certains de ses conteneurs sont restés égarés trois mois dans des ports. Les salariés ont perdu tout ce qu'ils avaient enregistré sur leur ordinateur. Pour une entreprise dont le métier est la fiabilité, la confiance des clients a été mise à l'épreuve, même si Søren Skou a souligné, d'après Computer Weekly, l'aide reçue de ces mêmes clients.

Pourquoi le montant total des dégâts reste-t-il discuté ?

Les estimations globales divergent fortement. Wired cite une évaluation de la Maison-Blanche, confirmée par l'ancien conseiller Tom Bossert, qui dépasse 10 milliards de dollars de dégâts. The Guardian, le 15 février 2018, évoquait de son côté un coût estimé à plus de 1,2 milliard de dollars pour les entreprises. L'écart tient à ce que l'on compte : les seules pertes déclarées par les sociétés cotées, ou aussi celles des victimes qui n'ont rien publié, ce que Wired résume par des pertes comptées en secret.

L'autre débat porte sur l'intention. Jim Hagemann Snabe a présenté Maersk comme un dommage collatéral, probablement d'une attaque d'État, selon BleepingComputer. Craig Williams, de Cisco Talos, soutient au contraire dans Wired que les dégâts internationaux étaient voulus, pour punir quiconque travaillait en Ukraine. Cette question a eu une conséquence très concrète pour les assurés : Mondelēz et Merck se sont heurtés à des assureurs qui invoquaient l'exclusion pour fait de guerre. Pour une PME, la leçon est simple : lire les exclusions de son contrat avant l'incident, pas après.

Pourquoi une PME de Cotonou, d'Abidjan ou de Lyon est-elle concernée par une attaque visant un géant ?

Une PME n'a ni 76 terminaux ni 4 000 serveurs, mais elle a souvent les mêmes faiblesses en plus petit : un serveur de fichiers ou un ERP sur lequel tout repose, des postes sous des versions de Windows qui ne reçoivent plus de correctifs, un compte administrateur partagé par toute l'équipe, et une sauvegarde branchée en permanence sur le réseau qu'elle est censée protéger. Un programme destructeur qui touche ce réseau détruit en même temps l'original et la copie.

NotPetya n'a pas choisi Maersk : le groupe a été touché parce qu'un de ses bureaux utilisait un logiciel compromis. C'est le scénario qui menace une PME, qui sera rarement visée nommément. Selon le rapport d'Interpol sur les cybermenaces en Afrique publié le 23 juin 2025, les détections de rançongiciels ont augmenté en 2024, avec 17 849 détections en Afrique du Sud et 12 281 en Égypte d'après les données de Trend Micro, et la cybercriminalité représente plus de 30 % des infractions signalées en Afrique de l'Ouest et de l'Est.

Le même rapport souligne que 95 % des pays africains interrogés manquent de formation, de moyens ou d'outils spécialisés pour faire appliquer leurs lois sur la cybercriminalité, et que seuls 30 % disposent d'un système de signalement des incidents. Une entreprise victime à Lomé ou à Douala doit donc s'attendre à se relever d'abord avec ses propres moyens et ceux de son prestataire. Le détail de l'histoire de Maersk compte ici : le serveur rescapé se trouvait dans un bureau d'Afrique de l'Ouest, sauvé par une coupure de courant.

Que nous apprend M.E.Doc sur la dépendance aux logiciels comptables et fiscaux ?

M.E.Doc était un outil ordinaire, installé parce qu'il servait aux déclarations fiscales ukrainiennes. Les PME d'Afrique francophone dépendent elles aussi de logiciels imposés ou très répandus. Au Bénin, la page du gouvernement sur les factures normalisées, publiée le 27 février 2020, impose aux assujettis à la TVA d'émettre leurs factures avec une machine électronique certifiée ou un logiciel validé par la Direction générale des impôts, sous peine d'une amende égale à dix fois le montant de la facture. Ces outils sont reliés à l'administration et se mettent à jour.

Il ne s'agit pas de soupçonner ces outils, mais d'en tirer une règle d'architecture : tout logiciel qui reçoit des mises à jour de l'extérieur est un point d'entrée possible, y compris le logiciel comptable, l'ERP Odoo ou Dolibarr, ses modules tiers, le logiciel de paie ou l'outil de facturation. Ces programmes tournent souvent avec des droits élevés, sur le poste du comptable ou du gérant, au cœur des données les plus sensibles de l'entreprise.

La dépendance est aussi opérationnelle. Quand le logiciel comptable s'arrête, l'entreprise ne facture plus, ne paie plus ses fournisseurs et ne peut plus prouver ce qu'on lui doit. Il faut donc savoir où sont ses données, sous quel format on peut les exporter, comment reconstruire le logiciel sur une machine neuve, et combien de temps l'entreprise peut tenir avec des factures manuelles numérotées. Chez Maersk, les équipes ont tenu à la main ; dans une PME, cette procédure doit être écrite avant d'en avoir besoin.

Comment Richard SALANON aide-t-il une PME à se préparer à une attaque destructrice ?

Richard SALANON est consultant en digitalisation et développeur logiciel, basé à Cotonou, au Bénin. Il crée des sites, des applications web et mobiles, des automatisations et des intégrations d'intelligence artificielle, déploie Odoo et Dolibarr, et forme les équipes à ces outils, pour des entreprises d'Afrique francophone, d'Europe et du Canada.

Maersk n'a jamais été son client : cette page raconte une histoire publique pour en tirer une méthode. Le point de départ est souvent un audit et une étude de projet : l'inventaire de ce qui fait tourner l'entreprise, l'endroit où se trouvent les données, les comptes qui y ont accès, les logiciels qui se mettent à jour seuls et la façon dont chaque outil serait remis en service sur une machine neuve. Le rapport classe les faiblesses par gravité et distingue ce qui doit être corrigé tout de suite de ce qui peut être planifié, que vous confiiez ensuite le travail à Richard ou à un autre prestataire.

La maintenance et le support transforment ensuite la liste de contrôle en routine : mises à jour appliquées chaque mois, correctifs critiques posés dès leur publication, sauvegardes envoyées hors du serveur, test de restauration complet consigné dans un compte rendu daté, revue des accès et suppression des comptes administrateurs inutiles. Pour un ERP Odoo ou Dolibarr, la sauvegarde comprend la base et les pièces jointes, sans lesquelles rien ne redémarre. Les accès, le code et la documentation restent à votre nom, pour que la reprise ne dépende jamais d'une seule personne.

Quand l'état des lieux révèle une entreprise qui ne tient que par un serveur ou par une personne, le sujet dépasse la technique. Le conseil en digitalisation aide le dirigeant à décider quoi protéger en priorité, avec quel budget et quels prestataires, et à rédiger le cahier des charges d'un hébergement ou d'une sauvegarde externalisée. La digitalisation d'entreprise remet à plat les processus, de la facturation aux encaissements, pour qu'ils puissent continuer en mode dégradé : exports réguliers, procédures écrites et équipes formées à les appliquer.

Vous obtenez une réponse sous 24 heures. Le parcours de Richard est présenté sur la page Richard SALANON, et d'autres récits publics, d'incidents comme de virages réussis, sont réunis dans les histoires.