Cl0p se atribuye un robo masivo de datos a Shell, Philips, GE y decenas más

El grupo de ransomware vinculado a Rusia Cl0p se ha atribuido la responsabilidad del robo de grandes volúmenes de datos de casi 50 empresas de todo el mundo, entre ellas Shell ↗ 1.58%, Philips Koninklijke Philips N.V. ↘ 2.08%, Fiserv ↘ 0.33% y GE ↗ 0.18%, según una publicación en el sitio web del grupo informada por primera vez por el medio holandés BNR el jueves 13 de agosto.channelnewsasia+1

Reuters informó de que no pudo verificar de forma independiente las afirmaciones del grupo sobre el tipo o el volumen de los datos robados.channelnewsasia

Respuestas corporativas

Shell reconoció tener conocimiento de un "posible incidente" en un comunicado. "Estamos trabajando con nuestros equipos de seguridad y expertos pertinentes para investigar la situación", afirmó un portavoz de Shell.channelnewsasia+1

Philips ofreció más detalles: "Philips ha identificado y contenido un intento de compromiso de ciberseguridad en un servidor empresarial específico relacionado con datos internos", declaró la empresa, añadiendo que el incidente no afecta a los entornos de los clientes.wifc+1

Un portavoz de Fiserv declaró que la empresa está al tanto de las afirmaciones del ciberdelincuente, pero que "según nuestra revisión exhaustiva hasta la fecha" no ha encontrado pruebas de que datos de clientes, bancarios, de transacciones o personales se hayan visto comprometidos, ni de que su entorno operativo se haya visto afectado. GE no ha hecho comentarios públicos.channelnewsasia+1

Vector de ataque: vulnerabilidad en PTC Windchill

Aunque ninguna de las víctimas citadas ha confirmado el método exacto de acceso, los investigadores de seguridad han vinculado la campaña de Cl0p a la explotación de CVE-2026-12569, una vulnerabilidad crítica en el software Windchill y FlexPLM de PTC utilizado en procesos de ingeniería y fabricación. La falla, que tiene una puntuación CVSS de 9.3, permite la ejecución remota de código no autenticada a través de la deserialización de datos no confiables.securityweek+1

La CISA añadió la vulnerabilidad a su catálogo de vulnerabilidades conocidas explotadas el 25 de junio tras confirmar su explotación activa. Ransom-ISAC emitió un aviso el 22 de julio advirtiendo de que Cl0p estaba explotando estas vulnerabilidades, y PTC ha publicado avisos instando a los clientes a parchear los sistemas afectados.fieldeffect+3

Una estrategia conocida

Cl0p no cifra los archivos de las víctimas siguiendo el modelo tradicional de ransomware. En su lugar, el grupo filtra sigilosamente los datos y amenaza con publicarlos en un sitio de filtraciones si la víctima no paga, una táctica que perfeccionó durante su campaña de 2023 explotando la vulnerabilidad de transferencia de archivos MOVEit, que afectó a cientos de organizaciones. La campaña actual sigue la misma lógica: identificar una herramienta empresarial de amplio uso, explotar un solo fallo y extraer datos de decenas de empresas a la vez.cryptonomist+1

Que Cl0p cumpla o no sus amenazas de publicar el material robado probablemente determinará la urgencia con la que las organizaciones que aún ejecutan sistemas Windchill sin parchear respondan en las próximas semanas.