Cl0p हैकर ग्रुप का बड़ा हमला: Shell, Philips समेत 50+ कंपनियों से लाखों डेटा चुराने का दावा

12 अगस्त 2026 को, रूस से जुड़े रैनसमवेयर ग्रुप Cl0p (जिसे FIN11, Graceful Spider या Lace Tempest के नाम से भी जाना जाता है) ने अपने डार्क वेब एक्सटॉर्शन साइट पर करीब 50 पीड़ित कंपनियों की एक सूची पोस्ट की । ग्रुप ने दावा किया कि उसने दुनिया की कई बड़ी कंपनियों, जिनमें Shell, Philips, Fiserv और General Electric (GE) शामिल हैं, से इंजीनियरिंग ब्लूप्रिंट, तकनीकी ड्राइंग और प्रोजेक्ट प्लान जैसा संवेदनशील डेटा चुराया है । यह लेख इस हमले, इस्तेमाल की गई जीरो-डे खामी और हर कंपनी की प्रतिक्रिया के बारे में विस्तार से बताता है।

Cl0p का दावा क्या है?

ग्रुप का दावा विस्तृत है और रॉयटर्स जैसी मीडिया ने इसकी रिपोर्ट की है। वे कहते हैं कि यह सेंध कई अलग-अलग हमलों के बजाय सिर्फ एक सॉफ्टवेयर खामी (CVE-2026-12569) के जरिए लगाई गई ।

• Shell: लगभग 89 GB डेटा। Cl0p का कहना है कि इसमें एनर्जी सुविधाओं की प्रोजेक्ट ड्राइंग, औद्योगिक साइटों की तस्वीरें, टेस्टिंग रिपोर्ट और विस्तृत प्रोजेक्ट प्लान शामिल हैं ।
• Philips: लगभग 13.5 GB डेटा। इसमें ज्यादातर डायग्राम, ब्लूप्रिंट और तकनीकी ड्राइंग शामिल हैं ।
• Fiserv और GE: ये कंपनियां Cl0p की लिस्ट में हैं, लेकिन ग्रुप ने इनके बारे में चुराए गए डेटा की मात्रा या उसकी सामग्री के बारे में अलग से कोई जानकारी नहीं दी है ।

अहम बात: पीड़ितों और चुराए गए डेटा की मात्रा के बारे में यह दावा सिर्फ Cl0p ने किया है। सुरक्षा रिसर्चरों या इन कंपनियों ने इसकी स्वतंत्र रूप से पुष्टि नहीं की है ।

कंपनियों ने क्या प्रतिक्रिया दी है?

निशाना बनाई गई कंपनियों ने मामले को लेकर अलग-अलग स्तर की पुष्टि या जानकारी दी है। सभी जांच या इस घटना पर काबू पाने की अवस्था में हैं। किसी ने भी Cl0p के दावे की पूरी तरह पुष्टि नहीं की है।

• Philips: डच हेल्थ-टेक्नोलॉजी कंपनी ने सबसे स्पष्ट प्रतिक्रिया दी। उसने पुष्टि की कि उसने "आंतरिक डेटा से जुड़े एक विशिष्ट एंटरप्राइज़ सर्वर की सुरक्षा से जुड़े एक प्रयास को पहचान लिया और उसे नियंत्रित कर लिया"। कंपनी का कहना है कि इस घटना से ग्राहकों पर कोई असर नहीं पड़ा है ।
• Shell: एनर्जी कंपनी का कहना है कि वह एक "संभावित घटना" की जांच कर रही है और सुरक्षा टीमों और विशेषज्ञों के साथ मिलकर स्थिति को समझने की कोशिश कर रही है । कंपनी ने अभी तक किसी सेंध की पुष्टि या इनकार नहीं किया है।
• Fiserv और GE: इन दोनों कंपनियों का नाम Cl0p ने लिया है, लेकिन अब तक उन्होंने इस बारे में कोई विस्तृत सार्वजनिक बयान जारी नहीं किया है जिसमें सेंध की पुष्टि या इनकार किया गया हो ।

संदिग्ध हमले का वेक्टर: CVE-2026-12569 (PTC Windchill)

Ransom-ISAC, eCrime.ch और DEFUSED ने मिलकर एक सलाह जारी कर इस अभियान को PTC Windchill PDMLink और PTC FlexPLM में मौजूद CVE-2026-12569 नामक खामी से जोड़ा है ।

CVE-2026-12569 क्या है? यह एक गंभीर रिमोट कोड एक्सीक्यूशन (RCE) खामी है जो अविश्वसनीय डेटा के डीसीरियलाइज़ेशन की वजह से पैदा होती है । इसका CVSS स्कोर 9.8 (क्रिटिकल) है और यह Windchill और FlexPLM के 11.0 M030 से पहले के वर्ज़न को प्रभावित करती है । यह खामी बिना प्रमाणीकरण के एक हमलावर को इंटरनेट से जुड़े सर्वर पर मनमाना कोड चलाने की अनुमति देती है । अमेरिकी साइबर सुरक्षा एजेंसी CISA ने 25 जून 2026 को इस खामी को अपने Known Exploited Vulnerabilities (KEV) कैटलॉग में शामिल किया ।

हमले की श्रृंखला: हमलावरों ने CVE-2026-12569 का इस्तेमाल अकेले नहीं किया। उन्होंने इसे FlexPLM WSDL एंडपॉइंट में मौजूद एक प्री-ऑथेंटिकेशन जानकारी लीक करने वाली खामी के साथ जोड़ा । इस श्रृंखला की मदद से हमलावर:

1. बिना लॉग इन किए सिस्टम की जानकारी जुटा सके।
2. फिर CVE-2026-12569 का इस्तेमाल करके लक्षित सर्वरों पर हेक्स-नाम वाले JSP वेबशेल तैनात कर सके।
3. इन वेबशेल का इस्तेमाल करके फ़ाइलों की सूची बना सके, इंजीनियरिंग और डिज़ाइन डेटा इकट्ठा कर सके और उसे नेटवर्क से बाहर निकाल सके ।

घटनाओं की समयरेखा:

• जून 2026 की शुरुआत: रिसर्चरों का मानना है कि Cl0p से जुड़े लोगों ने पैच जारी होने से पहले, जीरो-डे के तौर पर CVE-2026-12569 का फायदा उठाना शुरू कर दिया था ।
• 17 जून, 2026: PTC ने सार्वजनिक रूप से इस खामी की जानकारी दी और एक सुरक्षा पैच जारी किया ।
• 25 जून, 2026: CISA ने CVE-2026-12569 को अपने Known Exploited Vulnerabilities कैटलॉग में शामिल किया ।
• 22 जुलाई, 2026: ReliaQuest ने सार्वजनिक रूप से हैकर्स द्वारा इस खामी का फायदा उठाए जाने की जानकारी दी ।
• 12 अगस्त, 2026: Cl0p ने अपनी एक्सटॉर्शन साइट पर करीब 50 पीड़ित कंपनियों के नाम पोस्ट किए ।

Cl0p का यह काम उसके स्थापित ब्लैकमेलिंग मॉडल में कैसे फिट बैठता है?

यह अभियान Cl0p के ऑपरेशन मॉडल का एक आदर्श उदाहरण है — बिना एन्क्रिप्शन के डेटा चुराना। ग्रुप ने लक्षित सिस्टम पर फ़ाइलों को एन्क्रिप्ट करने वाला रैनसमवेयर नहीं डिप्लॉय किया। इसके बजाय, उन्होंने फोकस किया :

• सिर्फ डेटा चोरी: उद्देश्य फ़ाइलों को लॉक करना नहीं, बल्कि संवेदनशील इंजीनियरिंग ब्लूप्रिंट, उत्पाद डिज़ाइन और मैन्युफैक्चरिंग स्पेसिफिकेशन चुराना था ।
• नाम और शर्म (Name and Shame): Cl0p पीड़ितों और चुराए गए डेटा की मात्रा को अपनी सार्वजनिक लीक साइट पर सूचीबद्ध करके दबाव बनाता है। वे सिस्टम तक पहुंच से वंचित करने के बजाय, पैसे न मिलने पर डेटा को सार्वजनिक करने की धमकी देते हैं ।
• सॉफ्टवेयर सप्लाई चेन के जरिए एक साथ कई कंपनियों को निशाना बनाना: Cl0p इस 'बिग-गेम हंटिंग' अप्रोच के लिए कुख्यात है। वे किसी एक एंटरप्राइज़ सॉफ्टवेयर प्रोडक्ट (जैसे पहले MOVEit Transfer और GoAnywhere MFT, और अब PTC Windchill) में एक गंभीर खामी का फायदा उठाकर एक ही बार में कई पीड़ितों को निशाना बनाते हैं । इससे अपेक्षाकृत कम ऑपरेशनल खर्च पर सबसे ज्यादा एक्सटॉर्शन लाभ मिलता है।

संक्षेप में, Cl0p ने एक ही जीरो-डे खामी (CVE-2026-12569) का इस्तेमाल करके दुनिया भर की लगभग 50 संगठनों को निशाना बनाया, संवेदनशील डिज़ाइन डेटा चुराया, और फिर अपनी मानक ब्लैकमेलिंग स्ट्रैटेजी अपनाई: नाम प्रकाशित करना, लीक करने की धमकी देना और फिरौती मांगना।