Cl0p、Shell・Philipsなど世界約50社からデータを盗み出したと主張――PTC Windchillゼロデイ攻撃の全容

• Shell：約89GBのデータ。エネルギー施設のプロジェクト図面、産業施設の写真、テストレポートのスキャン、詳細なプロジェクト計画などが含まれるとされています。
• Philips：約13.5GBのデータ。主に図表、設計図、その他の技術図面で構成されているとされています。
• FiservとGE：Cl0pのサイトに掲載されましたが、グループの初期声明では具体的なデータ量や内容は詳述されていません。

重要な注意点：この被害企業リストと主張されているデータ量は、Cl0p自身の申し立てに基づくものであり、セキュリティ研究者や指名された企業による独立した検証は行われていません。

各主要企業の対応

標的となった企業は、それぞれ確認の度合いや詳細に差があり、いずれも調査または封じ込めの段階にあります。いずれの企業もCl0pの主張の全容を独自に確認していません。

• Philips：オランダのヘルステクノロジー大手であるPhilipsは、最も明確な対応を示しています。同社は「内部データに関連する特定のエンタープライズサーバーへのサイバーセキュリティ侵害の試みを特定し、封じ込めた」と確認しました。インシデントによる顧客への影響はないとしています。
• Shell：エネルギー大手のShellは、「可能性のあるインシデント」を調査中であり、セキュリティチームや関連専門家と協力して状況を把握していると述べています。侵害の有無については確認も否定もしていません。
• FiservとGE：両社ともCl0pに名指しされましたが、最新の報道時点では、侵害を確認または否定する詳細な公式声明を発表していません。

攻撃経路とみられるもの：CVE-2026-12569（PTC Windchill）

Ransom-ISAC、eCrime.ch、DEFUSEDによる共同勧告は、このキャンペーンをPTC Windchill PDMLinkおよびPTC FlexPLMの脆弱性CVE-2026-12569の悪用に関連付けています。

CVE-2026-12569とは？ この脆弱性は、信頼できないデータのデシリアライゼーション（非直列化）に起因する深刻な**リモートコード実行（RCE）**の欠陥です。CVSSスコアは9.8（クリティカル） で、バージョン11.0 M030未満のWindchillおよびFlexPLMリリースに影響します。この脆弱性により、認証情報を持たない攻撃者がインターネットに公開されたサーバー上で任意のコードを実行できる可能性があります。CISAは2026年6月25日、この脆弱性を既知の悪用された脆弱性（KEV）カタログに追加しました。

攻撃の連鎖： 攻撃者はCVE-2026-12569を単独で使用したわけではありません。まず、FlexPLM WSDLエンドポイントの事前認証情報漏洩の欠陥を利用しました。この連鎖により、攻撃者は以下のことを可能にしました：

1. ログインせずにシステムの詳細情報を収集。
2. CVE-2026-12569を悪用し、標的のサーバーに16進数名のJSPウェブシェルを展開。
3. ウェブシェルを使用してファイルを列挙し、エンジニアリングデータや設計データを収集・ネットワーク外に持ち出す。

事件の時系列：

• 2026年6月初旬：研究者らは、Cl0pの関連組織がパッチが存在する前に、CVE-2026-12569をゼロデイとして悪用していた可能性が高いと評価。
• 2026年6月17日：PTCがこの脆弱性を公表し、セキュリティパッチをリリース。
• 2026年6月25日：CISAがCVE-2026-12569を既知の悪用された脆弱性カタログに追加。
• 2026年7月22日：ReliaQuestが脅威アクターによるこの脆弱性の活発な悪用を観測したと公表。
• 2026年8月12日：Cl0pが身代金要求サイトに約50社の被害企業名を掲載。

Cl0pの確立された身代金要求モデルとの整合性

今回のキャンペーンは、Cl0pの行動様式――暗号化を伴わないデータ流出――の教科書通りの例です。このグループは標的のシステムにファイルを暗号化するランサムウェアを展開しませんでした。代わりに、以下の点に注力しました：

• 純粋なデータ窃取：目的はファイルをロックすることではなく、機密性の高いエンジニアリング設計図、製品設計、製造仕様書を盗み出すことでした。
• ネーム＆シェイム（名前の公開と恥辱）：Cl0pは公開リークサイトに被害企業名とデータ量を掲載することで圧力をかけます。システムへのアクセスを奪うのではなく、身代金が支払われなければ盗んだデータを公開すると脅迫します。
• ソフトウェアサプライチェーンを介した大量同時攻撃：Cl0pはこの「ビッグゲームハンティング」アプローチで悪名高い。彼らは単一のエンタープライズソフトウェア製品（これまではMOVEit TransferやGoAnywhere MFT、そして今回のPTC Windchill）の致命的な脆弱性を悪用し、たった一度の攻撃で多数の被害者を同時に侵害します。これにより、比較的低い運用コストで最大限の身代金交渉力を得ることができます。

つまりCl0pは、単一のゼロデイ脆弱性（CVE-2026-12569）を武器に、世界中の約50組織を同時に侵害し、機密性の高い設計・エンジニアリングデータを盗み出し、標準的な恐喝の手口（名前の公開、リークの脅迫、金銭要求）を適用したのです。