Cl0p revendique un vol massif de données chez Shell, Philips et GE

Le groupe de rançongiciel lié à la Russie Cl0p a revendiqué le vol de volumes importants de données auprès de près de 50 entreprises dans le monde, dont Shell ↘ 0.17%, Philips Koninklijke Philips N.V. ↗ 2.16%, Fiserv ↗ 7.64% et GE ↘ 1.28%, selon une publication sur le site du groupe rapportée jeudi 13 août par le média néerlandais BNR.channelnewsasia+1

Reuters a précisé ne pas être en mesure de vérifier de manière indépendante les affirmations du groupe concernant le type ou le volume des données volées.channelnewsasia

Réponses des entreprises

Dans un communiqué, Shell a reconnu avoir connaissance d'un « incident possible ». « Nous travaillons avec nos équipes de sécurité et des experts compétents pour analyser la situation », a déclaré un porte-parole de Shell.channelnewsasia+1

Philips a fourni plus de détails : « Philips a identifié et maîtrisé une tentative de compromission informatique d'un serveur d'entreprise spécifique relatif à des données internes », a indiqué la société, ajoutant que l'incident n'impacte pas les environnements clients.wifc+1

Un porte-parole de Fiserv a déclaré que l'entreprise est informée des revendications du pirate informatique, mais que « sur la base de notre examen approfondi à ce jour », aucune preuve n'a été trouvée indiquant que des données personnelles, bancaires, de transaction ou clientes aient été compromises, ni que son environnement opérationnel ait été affecté. GE n'a pas fait de commentaire public.channelnewsasia+1

Vecteur d'attaque : faille dans PTC Windchill

Bien qu'aucune des victimes nommées n'ait confirmé la méthode d'accès exacte, des chercheurs en sécurité lient la campagne de Cl0p à l'exploitation de la vulnérabilité CVE-2026-12569, une faille critique dans les logiciels Windchill et FlexPLM de PTC utilisés dans l'ingénierie et la fabrication. Le défaut, qui affiche un score CVSS de 9,3, permet l'exécution de code à distance non authentifiée via la désérialisation de données non fiables.securityweek+1

La CISA a ajouté la faille à son catalogue de vulnérabilités exploitées le 25 juin après avoir confirmé son exploitation active. Ransom-ISAC a publié un avertissement le 22 juillet indiquant que Cl0p exploitait ces failles, et PTC a publié des bulletins exhortant ses clients à corriger les systèmes concernés.fieldeffect+3

Un mode opératoire bien connu

Cl0p ne chiffre pas les fichiers des victimes selon le modèle classique du rançongiciel. Le groupe exfiltre plutôt discrètement les données et menace de les publier sur un site de fuites si la victime ne paie pas, une tactique affinée lors de sa campagne de 2023 exploitant la vulnérabilité de transfert de fichiers MOVEit, qui avait touché des centaines d'organisations. La campagne actuelle suit la même logique : cibler un outil d'entreprise largement déployé, exploiter une unique faille et récolter les données de dizaines de sociétés à la fois.cryptonomist+1

Le fait que Cl0p mette ou non ses menaces à exécution en publiant le matériel volé influencera probablement l'urgence avec laquelle les organisations utilisant encore des systèmes Windchill non corrigés réagiront au cours des prochaines semaines.