Co Cl0p tvrdí

Skupina svá tvrzení – o nichž informovala například agentura Reuters – specifikovala poměrně podrobně. Údajně nešlo o sérii samostatných průniků, ale o jediný útok, který zneužil konkrétní softwarovou chybu . Mezi deklarovaným kořistí jsou:

• Shell: Přibližně 89 GB dat – podle Cl0p jde o projektové výkresy energetických zařízení, fotografie průmyslových lokalit, skeny zkušebních protokolů a podrobné plány projektů .
• Philips: Zhruba 13,5 GB dat – převážně diagramy, technické výkresy a další technická dokumentace .
• Fiserv a GE: Obě společnosti se na seznamu obětí rovněž objevily, Cl0p u nich ale neuvedl konkrétní objem ani obsah odcizených dat .

Důležité upozornění: Seznam obětí a uváděné objemy dat pocházejí výhradně od skupiny Cl0p a dosud nebyly nezávisle potvrzeny bezpečnostními výzkumníky ani dotčenými firmami .

Reakce napadených společností

Zasažené společnosti reagovaly různě – od poměrně konkrétního potvrzení až po opatrné vyjádření, že věc vyšetřují. Žádná z nich zatím plný rozsah tvrzení Cl0p nepotvrdila.

• Philips: Nejdůraznější reakce přišla od nizozemského výrobce zdravotnické techniky. Společnost potvrdila, že „identifikovala a zneškodnila pokus o kybernetický průnik na konkrétním podnikovém serveru s interními daty“. Zároveň ujistila, že incident neměl dopad na zákazníky .
• Shell: Energetický gigant uvedl, že vyšetřuje „možný incident“ a spolupracuje s bezpečnostními týmy a externími odborníky . Únik dat ani nenaznačil, ani ho zcela nevyvrátil.
• Fiserv a GE: Obě firmy, které Cl0p jmenoval, se podle dosavadních zpráv k celé záležitosti veřejně nevyjádřily .

Podezřelý vektor útoku: CVE-2026-12569 (PTC Windchill)

Koordinované varování od organizací Ransom-ISAC, eCrime.ch a DEFUSED spojilo tuto kampaň s exploatací zranitelnosti CVE-2026-12569, která se týká produktů PTC Windchill PDMLink a PTC FlexPLM .

Co je CVE-2026-12569? Jedná se o kritickou chybu umožňující vzdálené spuštění kódu (RCE), která vzniká v důsledku deserializace nedůvěryhodných dat . Americký úřad NVD jí přidělil skóre CVSS 9,8 (Critical). Zranitelnost postihuje verze Windchill a FlexPLM starší než 11.0 M030 . Útočník, který tuto chybu zneužije, může bez jakéhokoli ověření spustit na internetově přístupném serveru s tímto softwarem vlastní kód . Americká agentura CISA přidala tuto zranitelnost do svého katalogu známých zneužívaných chyb (Known Exploited Vulnerabilities – KEV) 25. června 2026 .

Řetězec zneužití: Útočníci CVE-2026-12569 nepoužili samostatně. Zkombinovali ji s chybou umožňující únik informací bez nutnosti přihlášení v koncovém bodě FlexPLM WSDL . Tento řetězec jim umožnil:

1. Získat podrobnosti o systému bez přihlášení.
2. Využít CVE-2026-12569 k nasazení JSP webshellů (s hexadecimálními názvy) na cílené servery.
3. Prostřednictvím webshellů prohledávat soubory, shromáždit technická a konstrukční data a odeslat je z napadené sítě ven .

Časová osa událostí:

• Začátek června 2026: Podle bezpečnostních výzkumníků začali aktéři napojení na Cl0p zranitelnost CVE-2026-12569 zneužívat jako zero-day, tedy dříve, než na ni existovala oprava .
• 17. června 2026: Společnost PTC chybu veřejně oznámila a vydala bezpečnostní záplatu .
• 25. června 2026: CISA zařadila CVE-2026-12569 do svého katalogu známých zneužívaných chyb .
• 22. července 2026: Společnost ReliaQuest veřejně informovala o tom, že pozoruje aktivní zneužívání této chyby .
• 12. srpna 2026: Cl0p zveřejnil na svém vyděračském webu jména téměř 50 obětí .

Jak útok zapadá do modelu Cl0p

Tato kampaň je učebnicovým příkladem operačního modelu skupiny Cl0p – krádeže dat bez šifrování. Skupina na napadené systémy nenasazovala ransomware, který by data zašifroval. Místo toho se zaměřila na :

• Pouhou krádež dat: Cílem nebylo uzamknout soubory, ale odcizit citlivá data – technické výkresy, návrhy produktů a výrobní specifikace .
• „Naming and shaming“ – zveřejnění jmen a nátlak: Cl0p na veřejném webu zveřejňuje jména obětí a objem odcizených dat. Místo blokování přístupu k systémům vyhrožuje, že ukradená data zveřejní, pokud nedostane zaplaceno .
• Hromadný simultánní útok přes jednu zranitelnost v dodavatelském řetězci: Cl0p je známý touto strategií – využívá kritickou chybu v jediném podnikovém softwarovém produktu (dříve MOVEit Transfer, GoAnywhere MFT a nyní PTC Windchill) k tomu, aby jedním exploitem kompromitoval najednou mnoho obětí . To mu umožňuje maximalizovat vyděračský tlak při relativně nízkých provozních nákladech.

Stručně řečeno: Cl0p zneužil jedinou zero-day zranitelnost (CVE-2026-12569) k napadení asi 50 organizací po celém světě, odcizil citlivá konstrukční a technická data a pak spustil svůj standardní vyděračský scénář – zveřejnil jména firem, pohrozil únikem dat a požaduje výkupné.

Co Cl0p tvrdí

Skupina svá tvrzení – o nichž informovala například agentura Reuters – specifikovala poměrně podrobně. Údajně nešlo o sérii samostatných průniků, ale o jediný útok, který zneužil konkrétní softwarovou chybu . Mezi deklarovaným kořistí jsou:

• Shell: Přibližně 89 GB dat – podle Cl0p jde o projektové výkresy energetických zařízení, fotografie průmyslových lokalit, skeny zkušebních protokolů a podrobné plány projektů .
• Philips: Zhruba 13,5 GB dat – převážně diagramy, technické výkresy a další technická dokumentace .
• Fiserv a GE: Obě společnosti se na seznamu obětí rovněž objevily, Cl0p u nich ale neuvedl konkrétní objem ani obsah odcizených dat .

Důležité upozornění: Seznam obětí a uváděné objemy dat pocházejí výhradně od skupiny Cl0p a dosud nebyly nezávisle potvrzeny bezpečnostními výzkumníky ani dotčenými firmami .

Reakce napadených společností

Zasažené společnosti reagovaly různě – od poměrně konkrétního potvrzení až po opatrné vyjádření, že věc vyšetřují. Žádná z nich zatím plný rozsah tvrzení Cl0p nepotvrdila.

• Philips: Nejdůraznější reakce přišla od nizozemského výrobce zdravotnické techniky. Společnost potvrdila, že „identifikovala a zneškodnila pokus o kybernetický průnik na konkrétním podnikovém serveru s interními daty“. Zároveň ujistila, že incident neměl dopad na zákazníky .
• Shell: Energetický gigant uvedl, že vyšetřuje „možný incident“ a spolupracuje s bezpečnostními týmy a externími odborníky . Únik dat ani nenaznačil, ani ho zcela nevyvrátil.
• Fiserv a GE: Obě firmy, které Cl0p jmenoval, se podle dosavadních zpráv k celé záležitosti veřejně nevyjádřily .

Podezřelý vektor útoku: CVE-2026-12569 (PTC Windchill)

Koordinované varování od organizací Ransom-ISAC, eCrime.ch a DEFUSED spojilo tuto kampaň s exploatací zranitelnosti CVE-2026-12569, která se týká produktů PTC Windchill PDMLink a PTC FlexPLM .

Co je CVE-2026-12569? Jedná se o kritickou chybu umožňující vzdálené spuštění kódu (RCE), která vzniká v důsledku deserializace nedůvěryhodných dat . Americký úřad NVD jí přidělil skóre CVSS 9,8 (Critical). Zranitelnost postihuje verze Windchill a FlexPLM starší než 11.0 M030 . Útočník, který tuto chybu zneužije, může bez jakéhokoli ověření spustit na internetově přístupném serveru s tímto softwarem vlastní kód . Americká agentura CISA přidala tuto zranitelnost do svého katalogu známých zneužívaných chyb (Known Exploited Vulnerabilities – KEV) 25. června 2026 .

Řetězec zneužití: Útočníci CVE-2026-12569 nepoužili samostatně. Zkombinovali ji s chybou umožňující únik informací bez nutnosti přihlášení v koncovém bodě FlexPLM WSDL . Tento řetězec jim umožnil:

1. Získat podrobnosti o systému bez přihlášení.
2. Využít CVE-2026-12569 k nasazení JSP webshellů (s hexadecimálními názvy) na cílené servery.
3. Prostřednictvím webshellů prohledávat soubory, shromáždit technická a konstrukční data a odeslat je z napadené sítě ven .

Časová osa událostí:

• Začátek června 2026: Podle bezpečnostních výzkumníků začali aktéři napojení na Cl0p zranitelnost CVE-2026-12569 zneužívat jako zero-day, tedy dříve, než na ni existovala oprava .
• 17. června 2026: Společnost PTC chybu veřejně oznámila a vydala bezpečnostní záplatu .
• 25. června 2026: CISA zařadila CVE-2026-12569 do svého katalogu známých zneužívaných chyb .
• 22. července 2026: Společnost ReliaQuest veřejně informovala o tom, že pozoruje aktivní zneužívání této chyby .
• 12. srpna 2026: Cl0p zveřejnil na svém vyděračském webu jména téměř 50 obětí .

Jak útok zapadá do modelu Cl0p

Tato kampaň je učebnicovým příkladem operačního modelu skupiny Cl0p – krádeže dat bez šifrování. Skupina na napadené systémy nenasazovala ransomware, který by data zašifroval. Místo toho se zaměřila na :

• Pouhou krádež dat: Cílem nebylo uzamknout soubory, ale odcizit citlivá data – technické výkresy, návrhy produktů a výrobní specifikace .
• „Naming and shaming“ – zveřejnění jmen a nátlak: Cl0p na veřejném webu zveřejňuje jména obětí a objem odcizených dat. Místo blokování přístupu k systémům vyhrožuje, že ukradená data zveřejní, pokud nedostane zaplaceno .
• Hromadný simultánní útok přes jednu zranitelnost v dodavatelském řetězci: Cl0p je známý touto strategií – využívá kritickou chybu v jediném podnikovém softwarovém produktu (dříve MOVEit Transfer, GoAnywhere MFT a nyní PTC Windchill) k tomu, aby jedním exploitem kompromitoval najednou mnoho obětí . To mu umožňuje maximalizovat vyděračský tlak při relativně nízkých provozních nákladech.

Stručně řečeno: Cl0p zneužil jedinou zero-day zranitelnost (CVE-2026-12569) k napadení asi 50 organizací po celém světě, odcizil citlivá konstrukční a technická data a pak spustil svůj standardní vyděračský scénář – zveřejnil jména firem, pohrozil únikem dat a požaduje výkupné.