Cl0p tvrdí masivní krádež dat z více než 50 firem: Kompletní rozbor útoku na PTC Windchill

Hackerská skupina Cl0p, kterou bezpečnostní firmy sledují pod krycími jmény FIN11, Graceful Spider nebo Lace Tempest, zveřejnila 12. srpna 2026 na svém vyděračském webu seznam bezmála padesáti firem, u nichž údajně odcizila obrovské objemy citlivých dat . Mezi oběťmi se objevila jména jako Shell, Philips, Fiserv a General Electric (GE) . Skupina tvrdí, že ukradené soubory obsahují technické výkresy, plány projektů a další důvěrné podklady. Následující text přináší podrobný rozbor útoku, popis zneužité zranitelnosti a přehled reakcí zasažených společností.

Co Cl0p tvrdí

Skupina svá tvrzení – o nichž informovala například agentura Reuters – specifikovala poměrně podrobně. Údajně nešlo o sérii samostatných průniků, ale o jediný útok, který zneužil konkrétní softwarovou chybu . Mezi deklarovaným kořistí jsou:

• Shell: Přibližně 89 GB dat – podle Cl0p jde o projektové výkresy energetických zařízení, fotografie průmyslových lokalit, skeny zkušebních protokolů a podrobné plány projektů .
• Philips: Zhruba 13,5 GB dat – převážně diagramy, technické výkresy a další technická dokumentace .
• Fiserv a GE: Obě společnosti se na seznamu obětí rovněž objevily, Cl0p u nich ale neuvedl konkrétní objem ani obsah odcizených dat .

Důležité upozornění: Seznam obětí a uváděné objemy dat pocházejí výhradně od skupiny Cl0p a dosud nebyly nezávisle potvrzeny bezpečnostními výzkumníky ani dotčenými firmami .

Reakce napadených společností

Zasažené společnosti reagovaly různě – od poměrně konkrétního potvrzení až po opatrné vyjádření, že věc vyšetřují. Žádná z nich zatím plný rozsah tvrzení Cl0p nepotvrdila.

• Philips: Nejdůraznější reakce přišla od nizozemského výrobce zdravotnické techniky. Společnost potvrdila, že „identifikovala a zneškodnila pokus o kybernetický průnik na konkrétním podnikovém serveru s interními daty“. Zároveň ujistila, že incident neměl dopad na zákazníky .
• Shell: Energetický gigant uvedl, že vyšetřuje „možný incident“ a spolupracuje s bezpečnostními týmy a externími odborníky . Únik dat ani nenaznačil, ani ho zcela nevyvrátil.
• Fiserv a GE: Obě firmy, které Cl0p jmenoval, se podle dosavadních zpráv k celé záležitosti veřejně nevyjádřily .

Podezřelý vektor útoku: CVE-2026-12569 (PTC Windchill)

Koordinované varování od organizací Ransom-ISAC, eCrime.ch a DEFUSED spojilo tuto kampaň s exploatací zranitelnosti CVE-2026-12569, která se týká produktů PTC Windchill PDMLink a PTC FlexPLM .

Co je CVE-2026-12569? Jedná se o kritickou chybu umožňující vzdálené spuštění kódu (RCE), která vzniká v důsledku deserializace nedůvěryhodných dat . Americký úřad NVD jí přidělil skóre CVSS 9,8 (Critical). Zranitelnost postihuje verze Windchill a FlexPLM starší než 11.0 M030 . Útočník, který tuto chybu zneužije, může bez jakéhokoli ověření spustit na internetově přístupném serveru s tímto softwarem vlastní kód . Americká agentura CISA přidala tuto zranitelnost do svého katalogu známých zneužívaných chyb (Known Exploited Vulnerabilities – KEV) 25. června 2026 .

Řetězec zneužití: Útočníci CVE-2026-12569 nepoužili samostatně. Zkombinovali ji s chybou umožňující únik informací bez nutnosti přihlášení v koncovém bodě FlexPLM WSDL . Tento řetězec jim umožnil:

1. Získat podrobnosti o systému bez přihlášení.
2. Využít CVE-2026-12569 k nasazení JSP webshellů (s hexadecimálními názvy) na cílené servery.
3. Prostřednictvím webshellů prohledávat soubory, shromáždit technická a konstrukční data a odeslat je z napadené sítě ven .

Časová osa událostí:

• Začátek června 2026: Podle bezpečnostních výzkumníků začali aktéři napojení na Cl0p zranitelnost CVE-2026-12569 zneužívat jako zero-day, tedy dříve, než na ni existovala oprava .
• 17. června 2026: Společnost PTC chybu veřejně oznámila a vydala bezpečnostní záplatu .
• 25. června 2026: CISA zařadila CVE-2026-12569 do svého katalogu známých zneužívaných chyb .
• 22. července 2026: Společnost ReliaQuest veřejně informovala o tom, že pozoruje aktivní zneužívání této chyby .
• 12. srpna 2026: Cl0p zveřejnil na svém vyděračském webu jména téměř 50 obětí .

Jak útok zapadá do modelu Cl0p

Tato kampaň je učebnicovým příkladem operačního modelu skupiny Cl0p – krádeže dat bez šifrování. Skupina na napadené systémy nenasazovala ransomware, který by data zašifroval. Místo toho se zaměřila na :

• Pouhou krádež dat: Cílem nebylo uzamknout soubory, ale odcizit citlivá data – technické výkresy, návrhy produktů a výrobní specifikace .
• „Naming and shaming“ – zveřejnění jmen a nátlak: Cl0p na veřejném webu zveřejňuje jména obětí a objem odcizených dat. Místo blokování přístupu k systémům vyhrožuje, že ukradená data zveřejní, pokud nedostane zaplaceno .
• Hromadný simultánní útok přes jednu zranitelnost v dodavatelském řetězci: Cl0p je známý touto strategií – využívá kritickou chybu v jediném podnikovém softwarovém produktu (dříve MOVEit Transfer, GoAnywhere MFT a nyní PTC Windchill) k tomu, aby jedním exploitem kompromitoval najednou mnoho obětí . To mu umožňuje maximalizovat vyděračský tlak při relativně nízkých provozních nákladech.

Stručně řečeno: Cl0p zneužil jedinou zero-day zranitelnost (CVE-2026-12569) k napadení asi 50 organizací po celém světě, odcizil citlivá konstrukční a technická data a pak spustil svůj standardní vyděračský scénář – zveřejnil jména firem, pohrozil únikem dat a požaduje výkupné.