Cl0p hevder å ha stjålet massedata fra Shell, Philips og GE

Den Russland-tilknyttede løsepengegruppen Cl0p hevder å ha stjålet store datamengder fra nesten 50 selskaper over hele verden, inkludert Shell ↗ 0.61%, Philips Koninklijke Philips N.V. ↘ 0.33%, Fiserv ↘ 2.00% og GE ↗ 2.15%. Dette fremgår av et innlegg på gruppens nettside som først ble omtalt av det nederlandske mediet BNR torsdag 13. august.channelnewsasia+1

Reuters melder at de ikke uavhengig har kunnet verifisere gruppens påstander om type eller mengde data som skal være stjålet.channelnewsasia

Selskapenes responser

Shell bekreftet i en uttalelse at de er kjent med en "mulig hendelse". "Vi jobber sammen med våre sikkerhetsteam og relevante eksperter for å undersøke situasjonen," uttalte en talsperson for Shell.channelnewsasia+1

Philips ga flere detaljer: "Philips har avdekket og stanset et forsøk på et datasikkerhetsinnbrudd mot en spesifikk virksomhetsserver knyttet til interne data," opplyste selskapet, og la til at hendelsen ikke påvirker kundemiljøer.wifc+1

En talsperson for Fiserv uttalte at selskapet er kjent med påstandene fra aktøren, men at de "basert på våre omfattende undersøkelser så langt" ikke har funnet noe bevis for at kunde-, bank-, transaksjons- eller persondata har blitt kompromittert, eller at deres driftsmiljø har blitt berørt. GE har ikke kommentert saken offentlig.channelnewsasia+1

Angrepsvektor: Sårbarhet i PTC Windchill

Selv om den nøyaktige metoden for tilgang ikke har blitt bekreftet av noen av de navngitte ofrene, har sikkerhetsforskere knyttet Cl0p sin kampanje til utnyttelse av CVE-2026-12569, en kritisk sårbarhet i PTCs Windchill- og FlexPLM-programvare som brukes i ingeniør- og produksjonsprosesser. Sårbarheten, som har en CVSS-score på 9,3, muliggjør ukontrollert kjøring av skadelig kode fra avstand gjennom deserialisering av utrodde data.securityweek+1

CISA la til sårbarheten i sin oversikt over kjente utnyttede sårbarheter den 25. juni etter å ha bekreftet aktiv utnyttelse. Ransom-ISAC sendte ut et varsel 22. juli der de advarte om at Cl0p utnyttet disse sårbarhetene, og PTC har publisert anbefalinger der de oppfordrer kunder til å oppdatere berørte systemer.fieldeffect+3

En velkjent oppskrift

Cl0p krypterer ikke ofrenes filer etter den tradisjonelle modellen for løsepengevirus. I stedet henter gruppen stille ut data og truer med å publisere dem på et lekkasjenettsted med mindre offeret betaler: en taktikk de videreutviklet under sin kampanje i 2023 der de utnyttet MOVEit-filoverføringssårbarheten som rammet hundrevis av organisasjoner. Den nåværende kampanjen følger samme logik: identifiser et utbredt bedriftsverktøy, utnytt en enkelt sårbarhet, og hent ut data fra dusinvis av selskaper samtidig.cryptonomist+1

Hvorvidt Cl0p gjør alvor av truslene om å publisere det stjålne materialet vil sannsynligvis prege hvor raskt organisasjoner som fortsatt kjører uoppdaterte Windchill-systemer reagerer i ukene som kommer.