Cl0p טוען לגניבת המוני נתונים מלמעלה מ-50 חברות: הפירוט המלא של מתקפת PTC Windchill

ב-12 באוגוסט 2026, קבוצת הכופרה Cl0p (הידועה גם כ-FIN11, Graceful Spider, או Lace Tempest) המקושרת לרוסיה, פרסמה רשימה של קרוב ל-50 חברות נפגעות באתר הסחיטה שלה ב'דארק ווב' . הקבוצה טוענת שגנבה כמויות עצומות של מידע ארגוני רגיש, כולל תוכניות הנדסה, שרטוטים טכניים ותוכניות פרויקטים, מכמה מהתאגידים הגדולים בעולם, ובהם של, פיליפס, פיסרב וג'נרל אלקטריק (GE) . ערך זה מפרט את המתקפה, את פגיעות היום-אפס ששימשה אותה, ואת תגובות החברות השונות.

מה Cl0p טוען

הטענות של הקבוצה, שדווחו בהרחבה על ידי כלי תקשורת כמו רויטרס, מפורטות וספציפיות. הם טוענים שהפריצה התבססה על פגיעות תוכנה אחת ולא על פריצות נפרדות מרובות . הנתונים שלכאורה נגנבו כוללים:

• של (Shell): כ-89 ג'יגה-בייט של נתונים. Cl0p טוענת שאלה כוללים שרטוטי פרויקטים למתקני אנרגיה, תצלומים של אתרים תעשייתיים, סריקות של דוחות בדיקה ותוכניות פרויקט מפורטות .
• פיליפס (Philips): כ-13.5 ג'יגה-בייט של נתונים. על פי הטענה, החומר הגנוב מורכב בעיקר מדיאגרמות, שרטוטים וציורים טכניים .
• פיסרב (Fiserv) ו-GE: חברות אלו נכללו ברשימת Cl0p, אך נפח או תוכן ספציפי של הנתונים לא פורטו בנפרד .

הסתייגות חשובה: רשימת הנפגעים ונפחי הנתונים מקורם ב-Cl0p עצמה, ועד כה לא אומתו באופן בלתי תלוי על ידי חוקרי אבטחה או על ידי החברות הנזכרות .

כיצד הגיבו החברות הגדולות

החברות שהותקפו הגיבו בדרגות שונות של אישור ופירוט, כשכולן נמצאות בשלב חקירה או בלימה. אף אחת לא אישרה את מלוא היקף טענות Cl0p.

• פיליפס: התגובה המוחלטת ביותר הגיעה מענקית הטכנולוגיה הרפואית ההולנדית. פיליפס אישרה כי "זיהתה ועצרה ניסיון פגיעה באבטחת סייבר של שרת ארגוני ספציפי הקשור לנתונים פנימיים". החברה הצהירה כי לא הייתה כל פגיעה בלקוחות .
• של: ענקית האנרגיה מסרה כי היא חוקרת "תקרית אפשרית" ועובדת עם צוותי האבטחה ומומחים רלוונטיים כדי להבין את המצב . החברה לא אישרה ולא הכחישה פריצה.
• פיסרב ו-GE: שתי החברות נזכרו על ידי Cl0p, אך נכון לדיווחים האחרונים, הן לא פרסמו הצהרות פומביות מפורטות המאשרות או מכחישות את הפריצה .

וקטור התקיפה החשוד: CVE-2026-12569 (PTC Windchill)

אזהרה מתואמת של Ransom-ISAC, eCrime.ch ו-DEFUSED קישרה קמפיין זה לניצול של CVE-2026-12569, פגיעות קריטית ב-PTC Windchill PDMLink וב-PTC FlexPLM .

מהי CVE-2026-12569? זוהי פגיעות ביצוע קוד מרחוק (RCE) קריטית, הנגרמת על ידי דה-סריאליזציה של מידע לא מהימן . יש לה ציון CVSS של 9.8 (קריטי) והיא משפיעה על גרסאות Windchill ו-FlexPLM מלפני 11.0 M030 . הפגיעות מאפשרת לתוקף לא מאומת לבצע קוד שרירותי על שרת החשוף לאינטרנט, ללא צורך בפרטי כניסה תקפים . סוכנות CISA הוסיפה פגיעות זו לקטלוג הפגיעויות המנוצלות שלה (KEV) ב-25 ביוני 2026 .

שרשרת הניצול: התוקפים לא השתמשו ב-CVE-2026-12569 לבדה. הם שילבו אותה עם פגיעות חשיפת מידע לפני אימות בנקודת הקצה FlexPLM WSDL . שרשרת זו אפשרה לתוקפים:

1. לאסוף פרטי מערכת מבלי להתחבר.
2. לנצל את CVE-2026-12569 כדי לפרוס קונכיות רשת (JSP webshells) בעלות שמות הקס-דצימליים על השרתים הממוקדים.
3. להשתמש בקונכיות הרשת כדי למפות קבצים, לאסוף נתוני הנדסה ועיצוב, ולגנוב אותם מהרשת .

ציר הזמן של האירועים:

• תחילת יוני 2026: חוקרים מעריכים ששחקנים הקשורים ל-Cl0p ניצלו ככל הנראה את CVE-2026-12569 כפגיעות יום-אפס, לפני שהיה תיקון .
• 17 ביוני 2026: PTC חשפה את הפגיעות בפומבי ושחררה תיקון אבטחה .
• 25 ביוני 2026: CISA הוסיפה את CVE-2026-12569 לקטלוג הפגיעויות המנוצלות שלה .
• 22 ביולי 2026: ReliaQuest דיווחה בפומבי על תצפיות של שחקני איום המנצלים את הפגיעות .
• 12 באוגוסט 2026: Cl0p מפרסמת את שמות כ-50 החברות הנפגעות באתר הסחיטה שלה .

כיצד זה משתלב במודל הסחיטה המוכר של Cl0p

קמפיין זה הוא דוגמה קלאסית למודל התפעולי של Cl0p – גניבת נתונים ללא הצפנה. הקבוצה לא פרסה תוכנת כופר להצפנת קבצים על המערכות הממוקדות. במקום זאת, הם התמקדו :

• גניבה טהורה של נתונים: המטרה הייתה לגנוב שרטוטים הנדסיים רגישים, עיצובי מוצר ומפרטי ייצור, לא לנעול קבצים .
• פרסום שמות ואיומים: Cl0p מפעילה לחץ על ידי פרסום שמות הנפגעים ונפחי הנתונים באתר ההדלפה הציבורי שלה. הם מאיימים לפרסם את הנתונים הגנובים אם לא ישולם כופר, במקום למנוע גישה למערכות .
• תקיפה המונית ובו-זמנית באמצעות שרשרת אספקת תוכנה: Cl0p ידועה בגישת "ציד הבשר הגדול" הזו. הם מנצלים פגיעות קריטית אחת במוצר תוכנה ארגוני – בעבר MOVEit Transfer ו-GoAnywhere MFT, וכעת PTC Windchill – כדי לפרוץ לקורבנות רבים בבת אחת באמצעות ניצול אחד . זה מאפשר מינוף סחיטה מקסימלי עם עלויות תפעול נמוכות יחסית.

בקצרה, Cl0p הנחילה פגיעות יום-אפס אחת (CVE-2026-12569) כדי לפרוץ לכ-50 ארגונים ברחבי העולם, גנבה נתוני הנדסה ועיצוב רגישים, ולאחר מכן הפעילה את ספר המשחקים הרגיל שלה: פרסום שמות, איום בהדלפות, ודרישת תשלום.