Cl0p revendique le vol massif de données chez plus de 50 entreprises : décryptage de l'attaque via PTC Windchill

Le 12 août 2026, le groupe rançongiciel Cl0p, lié à la Russie (également connu sous les noms de FIN11, Graceful Spider ou Lace Tempest), a publié sur son site d'extorsion sur le dark web une liste de près d'une cinquantaine d'entreprises victimes . Le groupe affirme avoir dérobé des quantités massives de données sensibles, notamment des plans d'ingénierie, des dessins techniques et des plans de projet, auprès de certaines des plus grandes entreprises mondiales, dont Shell, Philips, Fiserv et General Electric (GE) . Cet article décrypte l'attaque, la vulnérabilité zero-day utilisée et la réponse de chaque entreprise.

Ce que Cl0p a affirmé

Les déclarations du groupe, largement reprises par des médias comme Reuters, sont détaillées. Elles indiquent que la brèche repose sur une seule vulnérabilité logicielle, et non sur de multiples intrusions séparées . Le butin de données annoncé comprend :

• Shell : Environ 89 Go de données. Cl0p affirme que cela inclut des dessins de projets pour des installations énergétiques, des photographies de sites industriels, des scans de rapports de tests et des plans de projet détaillés .
• Philips : Environ 13,5 Go de données. Le matériel dérobé serait principalement constitué de diagrammes, de plans et d'autres dessins techniques .
• Fiserv et GE : Ces entreprises figuraient sur le site de Cl0p, mais les volumes ou contenus spécifiques n'ont pas été détaillés séparément dans les premières déclarations publiques du groupe .

Important : La liste des victimes et les volumes de données annoncés émanent de Cl0p lui-même et n'ont pas été vérifiés de manière indépendante par des chercheurs en sécurité ou les entreprises nommées .

Réponses des principales entreprises

Les entreprises ciblées ont réagi avec différents degrés de confirmation et de détails, toutes restant en phase d'enquête ou de confinement. Aucune n'a confirmé de manière indépendante l'ampleur totale des affirmations de Cl0p.

• Philips : La réponse la plus nette vient du géant néerlandais des technologies de la santé. Philips a confirmé avoir « identifié et contenu une tentative de compromission informatique d'un serveur d'entreprise spécifique lié à des données internes ». La société a déclaré que l'incident n'avait aucun impact sur les clients .
• Shell : Le major de l'énergie a déclaré enquêter sur un « incident possible » et travailler avec ses équipes de sécurité et des experts pertinents pour comprendre la situation . L'entreprise n'a ni confirmé ni infirmé la violation.
• Fiserv et GE : Les deux sociétés ont été nommées par Cl0p, mais selon les derniers rapports, elles n'ont pas publié de déclarations publiques détaillées confirmant ou infirmant la brèche .

Le vecteur d'attaque suspecté : CVE-2026-12569 (PTC Windchill)

Un avis coordonné de Ransom-ISAC, eCrime.ch et DEFUSED a lié cette campagne à l'exploitation de CVE-2026-12569, une vulnérabilité critique dans PTC Windchill PDMLink et PTC FlexPLM .

Qu'est-ce que CVE-2026-12569 ? Il s'agit d'une faille critique d'exécution de code à distance (RCE) causée par la désérialisation de données non fiables . Elle porte un score CVSS de 9,8 (Critique) et affecte les versions de Windchill et FlexPLM antérieures à 11.0 M030 . La vulnérabilité permet à un attaquant non authentifié d'exécuter du code arbitraire sur un serveur exposé à Internet et exécutant le logiciel vulnérable, sans avoir besoin d'identifiants valides . La CISA a ajouté cette vulnérabilité à son catalogue des vulnérabilités exploitées connues (KEV) le 25 juin 2026 .

La chaîne d'exploitation : Les attaquants n'ont pas utilisé CVE-2026-12569 de manière isolée. Ils l'ont combinée avec une faille de divulgation d'informations avant authentification dans le point de terminaison WSDL de FlexPLM . Cette chaîne a permis aux attaquants de :

1. Recueillir des détails sur le système sans se connecter.
2. Exploiter CVE-2026-12569 pour déployer des webshells JSP nommés en hexadécimal sur les serveurs ciblés.
3. Utiliser les webshells pour énumérer les fichiers, organiser les données d'ingénierie et de conception, et les exfiltrer du réseau .

Chronologie des événements :

• Début juin 2026 : Les chercheurs estiment que les acteurs affiliés à Cl0p exploitaient probablement CVE-2026-12569 comme une zero-day, avant qu'un correctif n'existe .
• 17 juin 2026 : PTC a divulgué publiquement la vulnérabilité et publié un correctif de sécurité .
• 25 juin 2026 : La CISA a ajouté CVE-2026-12569 à son catalogue des vulnérabilités exploitées connues .
• 22 juillet 2026 : ReliaQuest a signalé publiquement avoir observé des acteurs malveillants exploitant activement la faille .
• 12 août 2026 : Cl0p publie les noms d'environ 50 entreprises victimes sur son site d'extorsion .

Comment cela s'inscrit dans le modèle d'extorsion établi de Cl0p

Cette campagne est un exemple typique du modèle opérationnel de Cl0p — l'exfiltration de données sans chiffrement. Le groupe n'a pas déployé de rançongiciel chiffrant les fichiers sur les systèmes ciblés. Au lieu de cela, il s'est concentré sur :

• Vol pur de données : L'objectif était de voler des plans d'ingénierie sensibles, des conceptions de produits et des spécifications de fabrication, et non de verrouiller les fichiers .
• Nommer et faire honte : Cl0p fait pression en listant les noms des victimes et les volumes de données sur son site public de fuites. Ils menacent de publier les données volées si la rançon n'est pas payée, plutôt que de bloquer l'accès aux systèmes .
• Ciblage massif et simultané via une chaîne d'approvisionnement logicielle : Cl0p est tristement célèbre pour cette approche de « chasse au gros gibier ». Ils exploitent une vulnérabilité critique dans un seul produit logiciel d'entreprise — auparavant MOVEit Transfer et GoAnywhere MFT, et maintenant PTC Windchill — pour compromettre de nombreuses victimes à la fois avec une seule exploitation . Cela permet un levier d'extorsion maximal avec des frais généraux opérationnels relativement faibles.

En résumé, Cl0p a transformé une seule vulnérabilité zero-day (CVE-2026-12569) en arme pour compromettre environ 50 organisations dans le monde, a volé des données sensibles de conception et d'ingénierie, puis a appliqué son manuel d'extorsion standard : publier les noms, menacer de fuites et exiger un paiement.