Cl0p contro le Fortune 500: cosa è successo nella campagna di furto dati via PTC Windchill

Il 12 agosto 2026, il gruppo ransomware Cl0p, con presunti legami con la Russia e noto anche come FIN11, Graceful Spider o Lace Tempest, ha pubblicato una lista di quasi 50 aziende colpite sul suo sito di estorsione nel dark web . Il gruppo ha dichiarato di aver rubato enormi quantità di dati aziendali sensibili, inclusi progetti ingegneristici, disegni tecnici e piani operativi, da alcuni dei più grandi colossi mondiali, tra cui Shell, Philips, Fiserv e General Electric (GE) . Questo articolo analizza l'attacco, la vulnerabilità zero-day sfruttata e le risposte delle aziende coinvolte.

Cosa ha dichiarato Cl0p

Le rivendicazioni del gruppo, riportate da testate come Reuters, sono dettagliate e specifiche. Sostengono che la violazione si basi su un'unica vulnerabilità software, non su intrusioni multiple e separate . Il bottino di dati dichiarato include:

• Shell: Circa 89 GB di dati. Secondo Cl0p, tra questi ci sarebbero disegni di progetti per impianti energetici, fotografie di siti industriali, scansioni di rapporti di collaudo e piani progettuali dettagliati .
• Philips: Circa 13,5 GB di dati. Il materiale rubato sarebbe composto principalmente da diagrammi, progetti e altri disegni tecnici .
• Fiserv e GE: Queste aziende sono state elencate nel sito di Cl0p, ma volumi e contenuti specifici non sono stati dettagliati nelle dichiarazioni iniziali del gruppo .

Precisazione importante: La lista delle vittime e i volumi di dati dichiarati provengono esclusivamente da Cl0p e non sono stati verificati in modo indipendente da esperti di sicurezza o dalle aziende stesse .

Come hanno risposto le grandi aziende

Le aziende prese di mira hanno risposto con diversi gradi di conferma e dettaglio, tutte ancora in fase di indagine o contenimento. Nessuna ha confermato in modo indipendente la piena portata delle rivendicazioni di Cl0p.

• Philips: La risposta più definitiva è arrivata dal gigante olandese della tecnologia sanitaria. Philips ha confermato di aver “identificato e contenuto un tentativo di compromissione informatica di un server aziendale specifico relativo a dati interni”. L'azienda ha dichiarato che l'incidente non ha avuto alcun impatto sui clienti .
• Shell: La major energetica ha dichiarato di stare indagando su un “possibile incidente” e di essere al lavoro con i team di sicurezza e gli esperti del settore per comprendere la situazione . L'azienda non ha né confermato né negato la violazione.
• Fiserv e GE: Entrambe le aziende sono state nominate da Cl0p, ma, stando agli ultimi rapporti, non hanno rilasciato dichiarazioni pubbliche dettagliate che confermino o neghino la violazione .

Il vettore d'attacco sospettato: CVE-2026-12569 (PTC Windchill)

Un avviso coordinato di Ransom-ISAC, eCrime.ch e DEFUSED ha collegato questa campagna allo sfruttamento di CVE-2026-12569, una vulnerabilità critica in PTC Windchill PDMLink e PTC FlexPLM .

Cos'è CVE-2026-12569? È una falla critica di remote code execution (RCE) causata dalla deserializzazione di dati non attendibili . Ha un punteggio CVSS di 9,8 (Critico) e interessa le versioni di Windchill e FlexPLM precedenti alla 11.0 M030 . La vulnerabilità consente a un attaccante non autenticato di eseguire codice arbitrario su un server esposto a internet che esegue il software vulnerabile, senza bisogno di credenziali valide . CISA ha aggiunto questa vulnerabilità al suo catalogo Known Exploited Vulnerabilities (KEV) il 25 giugno 2026 .

La catena di sfruttamento: Gli attaccanti non hanno usato CVE-2026-12569 da sola. L'hanno combinata con una falla di information disclosure pre-autenticazione nell'endpoint WSDL di FlexPLM . Questa catena ha permesso agli attaccanti di:

1. Raccogliere dettagli di sistema senza effettuare il login.
2. Sfruttare CVE-2026-12569 per installare webshell JSP con nomi esadecimali sui server target.
3. Usare le webshell per elencare file, mettere in ordine dati di progettazione e ingegneria, ed es filtrarli dalla rete .

Cronologia degli eventi:

• Inizio giugno 2026: I ricercatori ritengono che gli attori legati a Cl0p abbiano probabilmente sfruttato CVE-2026-12569 come zero-day, prima che esistesse una patch .
• 17 giugno 2026: PTC ha reso pubblica la vulnerabilità e rilasciato una patch di sicurezza .
• 25 giugno 2026: CISA ha aggiunto CVE-2026-12569 al suo catalogo Known Exploited Vulnerabilities .
• 22 luglio 2026: ReliaQuest ha segnalato osservazioni di attori malevoli che sfruttavano attivamente la falla .
• 12 agosto 2026: Cl0p pubblica i nomi di circa 50 aziende colpite sul suo sito di estorsione .

Come si inserisce nel modello di estorsione consolidato di Cl0p

Questa campagna è un esempio da manuale del modello operativo di Cl0p: esfiltrazione di dati senza crittografia. Il gruppo non ha installato ransomware per criptare i file sui sistemi target. Si è invece concentrato su :

• Puro furto di dati: L'obiettivo era rubare progetti ingegneristici sensibili, progetti di prodotto e specifiche di produzione, non bloccare i file .
• Denuncia pubblica: Cl0p fa pressione elencando i nomi delle vittime e i volumi di dati sul suo sito di leak pubblico. Minaccia di pubblicare i dati rubati se non viene pagato, invece di negare l'accesso ai sistemi .
• Targeting massivo e simultaneo tramite una supply chain software: Cl0p è famoso per questo approccio di “big-game hunting”. Sfruttano una vulnerabilità critica in un singolo prodotto software enterprise – in precedenza MOVEit Transfer e GoAnywhere MFT, e ora PTC Windchill – per compromettere molte vittime contemporaneamente con un unico exploit . Questo permette di ottenere la massima leva estorsiva con un costo operativo relativamente basso.

In sintesi, Cl0p ha armato una singola vulnerabilità zero-day (CVE-2026-12569) per compromettere circa 50 organizzazioni a livello globale, rubare dati sensibili di progettazione e ingegneria, e quindi applicare il suo manuale di estorsione standard: pubblicare i nomi, minacciare perdite e chiedere il pagamento.