Cl0p, Shell, Philips ve GE dahil onlarca şirketten toplu veri çaldığını iddia etti

Hollanda medya kuruluşu BNR'nin 13 Ağustos Perşembe günü ilk kez duyurduğu ve çetenin web sitesinde yer alan paylaşıma göre, Rusya bağlantılı fidye yazılımı grubu Cl0p, aralarında Shell ↘ 0.17%, Philips Koninklijke Philips N.V. ↗ 2.16%, Fiserv ↗ 7.64% ve GE'nin ↘ 1.28% de bulunduğu dünya genelindeki yaklaşık 50 şirketten büyük miktarda veri çaldığını iddia etti.channelnewsasia+1

Reuters, çalınan verilerin türü veya miktarına ilişkin grubun iddalarlarını bağımsız olarak doğrulayamadığını bildirdi.channelnewsasia

Şirketlerin Yanıtları

Shell yaptığı açıklamada olası bir olaydan haberdar olduğunu kabul etti. Bir Shell sözcüsü, "Durumu araştırmak için güvenlik ekiplerimiz ve ilgili uzmanlarla birlikte çalışıyoruz" dedi.channelnewsasia+1

Philips daha ayrıntılı bir açıklama paylaştı: Şirket, "Philips, dahili verilerle ilgili belirli bir kurumsal sunucuya yönelik siber güvenlik ihlali girişimini tespit etmiş ve kontrol altına almıştır" ifadesini kullanırken olayın müşteri ortamlarını etkilemediğini ekledi.wifc+1

Bir Fiserv sözcüsü, şirketin tehdit aktörünün iddialarından haberdar olduğunu ancak "bugüne kadar yapılan kapsamlı incelemelere dayanarak" müşteri, bankacılık, işlem veya kişisel verilerin ihlal edildiğine ya da çalışma ortamının etkilendiğine dair hiçbir kanıt bulamadıklarını belirtti. GE ise henüz kamuoyuna bir açıklamada bulunmadı.channelnewsasia+1

Saldırı Yöntemi: PTC Windchill Güvenlik Açığı

Erişimin kesin yöntemi adı geçen kurbanların hiçbiri tarafından henüz doğrulanmamış olsa da güvenlik araştırmacıları, Cl0p'un kampanyasını mühendislik ve üretim süreçlerinde kullanılan PTC'nin Windchill ve FlexPLM yazılımlarındaki kritik bir güvenlik açığı olan CVE-2026-12569'un istismar edilmesine bağlıyor. CVSS skoru 9,3 olan bu açık, güvenilmeyen verilerin serileştirmeden çıkarılması yoluyla kimlik doğrulaması yapılmadan uzaktan kod çalıştırılmasına olanak tanıyor.securityweek+1

CISA, aktif olarak istismar edildiğini doğruladıktan sonra 25 Haziran'da güvenlik açığını Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi. Ransom-ISAC 22 Temmuz'da Cl0p'un bu açıkları kullandığı konusunda uyarıda bulunan bir bildiri yayımladı ve PTC de müşterilerini etkilenen sistemleri yamalamaya çağıran tavsiye kararları yayımladı.fieldeffect+3

Tanıdık Bir Strateji

Cl0p, geleneksel fidye yazılımı modelinde olduğu gibi kurbanların dosyalarını şifrelemiyor. Bunun yerine grup, verileri sessizce sızdırıyor ve kurban ödeme yapmadığı sürece verileri bir sızıntı sitesinde yayımlamakla tehdit ediyor. Bu yöntem, yüzlerce kurumu etkileyen ve MOVEit dosya transferi güvenlik açığını istismar ettiği 2023 kampanyası sırasında geliştirilen bir taktik. Mevcut kampanya da aynı mantığı izliyor: yaygın olarak kullanılan bir kurumsal aracı belirle, tek bir güvenlik açığından yararlan ve aynı anda onlarca şirketten veri topla.cryptonomist+1

Cl0p'un çalınan materyalleri yayımlama tehditlerini hayata geçirip geçirmeyeceği, yamalanmamış Windchill sistemlerini çalıştırmaya devam eden kuruluşların önümüzdeki haftalarda ne kadar hızlı hareket edeceğini muhtemelen belirleyecek.