Wat Cl0p beweert

De beweringen van de groep, breed uitgemeten door onder meer Reuters, zijn specifiek en gedetailleerd. Ze stellen dat de inbreuk het gevolg is van één softwarekwetsbaarheid, niet van meerdere losstaande aanvallen . De beweerdelijk buitgemaakte data omvat:

• Shell: Ongeveer 89 GB aan data. Cl0p zegt dat dit projecttekeningen voor energie-installaties, foto's van industriële locaties, scans van testrapporten en gedetailleerde projectplannen bevat .
• Philips: Ongeveer 13,5 GB aan data. Het gestolen materiaal zou vooral bestaan uit diagrammen, blauwdrukken en andere technische tekeningen .
• Fiserv en GE: Deze bedrijven stonden op de lijst van Cl0p, maar specifieke datavolumes of -inhoud werden niet apart genoemd in de eerste verklaringen van de groep .

Belangrijke kanttekening: De lijst van slachtoffers en de beweerdelijke datavolumes zijn afkomstig van Cl0p zelf en zijn niet onafhankelijk geverifieerd door beveiligingsonderzoekers of de genoemde bedrijven .

Hoe de grote bedrijven reageerden

De getroffen bedrijven hebben wisselend gereageerd, maar verkeren allemaal nog in een onderzoeks- of isolatiefase. Geen van hen heeft de volledige omvang van de claims van Cl0p onafhankelijk bevestigd.

• Philips: Het Nederlandse gezondheidstechnologiebedrijf gaf de duidelijkste reactie. Philips bevestigde dat het 'een poging tot cyberinbraak op een specifieke bedrijfsserver met interne data heeft geïdentificeerd en geïsoleerd'. Het bedrijf stelde dat klanten geen gevolgen hebben ondervonden .
• Shell: De energiegigant zegt een 'mogelijk incident' te onderzoeken en werkt samen met beveiligingsteams en experts om de situatie in kaart te brengen . Het bedrijf heeft de inbreuk noch bevestigd noch ontkend.
• Fiserv en GE: Beide bedrijven werden door Cl0p genoemd, maar hebben tot nu toe geen gedetailleerde openbare verklaringen afgelegd die de inbreuk bevestigen of ontkennen .

Het vermoedelijke aanvalsvector: CVE-2026-12569 (PTC Windchill)

Een gecoördineerd advies van Ransom-ISAC, eCrime.ch en DEFUSED koppelt deze campagne aan de exploitatie van CVE-2026-12569, een kritieke kwetsbaarheid in PTC Windchill PDMLink en PTC FlexPLM .

Wat is CVE-2026-12569? Dit is een kritieke kwetsbaarheid voor externe code-uitvoering (RCE) die wordt veroorzaakt door het deserialiseren van onvertrouwde gegevens . Het heeft een CVSS-score van 9,8 (Kritiek) en heeft invloed op Windchill- en FlexPLM-releases vóór versie 11.0 M030 . De kwetsbaarheid stelt een niet-geauthenticeerde aanvaller in staat om willekeurige code uit te voeren op een aan internet blootgestelde server met de kwetsbare software, zonder geldige inloggegevens . CISA voegde deze kwetsbaarheid op 25 juni 2026 toe aan de Known Exploited Vulnerabilities (KEV)-catalogus .

De aanvalsketen: Aanvallers gebruikten CVE-2026-12569 niet geïsoleerd. Ze combineerden het met een pre-authenticatie informatielek in het FlexPLM WSDL-eindpunt . Deze keten stelde aanvallers in staat om:

1. Systeemdetails te verzamelen zonder in te loggen.
2. CVE-2026-12569 te misbruiken om hexadecimaal genaamde JSP-webshells op doelwit-servers te plaatsen.
3. De webshells te gebruiken om bestanden te inventariseren, technische en ontwerpgegevens klaar te zetten en deze uit het netwerk te exfiltreren .

Tijdlijn van gebeurtenissen:

• Begin juni 2026: Onderzoekers schatten dat Cl0p-gelieerde actoren CVE-2026-12569 waarschijnlijk als zero-day uitbuitten, voordat er een patch bestond .
• 17 juni 2026: PTC maakte de kwetsbaarheid openbaar en bracht een beveiligingspatch uit .
• 25 juni 2026: CISA voegde CVE-2026-12569 toe aan de Known Exploited Vulnerabilities-catalogus .
• 22 juli 2026: ReliaQuest meldde openlijk waarnemingen van dreigingsactoren die de fout actief uitbuitten .
• 12 augustus 2026: Cl0p plaatste de namen van ongeveer 50 slachtofferbedrijven op de afpersingssite .

Hoe dit past in het bekende afpersingsmodel van Cl0p

Deze campagne is een schoolvoorbeeld van Cl0p's operationele model: data-exfiltratie zonder versleuteling. De groep plaatste geen bestandversleutelende ransomware op de doelsystemen. In plaats daarvan richtten ze zich op :

• Pure datadiefstal: Het doel was het stelen van gevoelige technische ontwerpen, productontwerpen en productiespecificaties, niet het vergrendelen van bestanden .
• Naming and shaming: Cl0p oefent druk uit door slachtoffernamen en datavolumes op de openbare leksite te plaatsen. Ze dreigen de gestolen data te publiceren tenzij er wordt betaald, in plaats van de toegang tot systemen te blokkeren .
• Massaal, gelijktijdig doelwit via een softwaretoeleveringsketen: Cl0p staat bekend om deze 'big-game hunting'-aanpak. Ze maken misbruik van een kritieke kwetsbaarheid in één enkel bedrijfssoftwareproduct – eerder MOVEit Transfer en GoAnywhere MFT, en nu PTC Windchill – om met één exploit in één keer meerdere slachtoffers te treffen . Dit levert maximale afpersingsmogelijkheden op met relatief lage operationele kosten.

Kortom, Cl0p bewapende een enkele zero-day kwetsbaarheid (CVE-2026-12569) om ongeveer 50 organisaties wereldwijd te compromitteren, vertrouwelijke ontwerp- en engineeringdata te stelen, en vervolgens het standaard afpersingsdraaiboek toe te passen: namen publiceren, lekken dreigen en betaling eisen.

Wat Cl0p beweert

De beweringen van de groep, breed uitgemeten door onder meer Reuters, zijn specifiek en gedetailleerd. Ze stellen dat de inbreuk het gevolg is van één softwarekwetsbaarheid, niet van meerdere losstaande aanvallen . De beweerdelijk buitgemaakte data omvat:

• Shell: Ongeveer 89 GB aan data. Cl0p zegt dat dit projecttekeningen voor energie-installaties, foto's van industriële locaties, scans van testrapporten en gedetailleerde projectplannen bevat .
• Philips: Ongeveer 13,5 GB aan data. Het gestolen materiaal zou vooral bestaan uit diagrammen, blauwdrukken en andere technische tekeningen .
• Fiserv en GE: Deze bedrijven stonden op de lijst van Cl0p, maar specifieke datavolumes of -inhoud werden niet apart genoemd in de eerste verklaringen van de groep .

Belangrijke kanttekening: De lijst van slachtoffers en de beweerdelijke datavolumes zijn afkomstig van Cl0p zelf en zijn niet onafhankelijk geverifieerd door beveiligingsonderzoekers of de genoemde bedrijven .

Hoe de grote bedrijven reageerden

De getroffen bedrijven hebben wisselend gereageerd, maar verkeren allemaal nog in een onderzoeks- of isolatiefase. Geen van hen heeft de volledige omvang van de claims van Cl0p onafhankelijk bevestigd.

• Philips: Het Nederlandse gezondheidstechnologiebedrijf gaf de duidelijkste reactie. Philips bevestigde dat het 'een poging tot cyberinbraak op een specifieke bedrijfsserver met interne data heeft geïdentificeerd en geïsoleerd'. Het bedrijf stelde dat klanten geen gevolgen hebben ondervonden .
• Shell: De energiegigant zegt een 'mogelijk incident' te onderzoeken en werkt samen met beveiligingsteams en experts om de situatie in kaart te brengen . Het bedrijf heeft de inbreuk noch bevestigd noch ontkend.
• Fiserv en GE: Beide bedrijven werden door Cl0p genoemd, maar hebben tot nu toe geen gedetailleerde openbare verklaringen afgelegd die de inbreuk bevestigen of ontkennen .

Het vermoedelijke aanvalsvector: CVE-2026-12569 (PTC Windchill)

Een gecoördineerd advies van Ransom-ISAC, eCrime.ch en DEFUSED koppelt deze campagne aan de exploitatie van CVE-2026-12569, een kritieke kwetsbaarheid in PTC Windchill PDMLink en PTC FlexPLM .

Wat is CVE-2026-12569? Dit is een kritieke kwetsbaarheid voor externe code-uitvoering (RCE) die wordt veroorzaakt door het deserialiseren van onvertrouwde gegevens . Het heeft een CVSS-score van 9,8 (Kritiek) en heeft invloed op Windchill- en FlexPLM-releases vóór versie 11.0 M030 . De kwetsbaarheid stelt een niet-geauthenticeerde aanvaller in staat om willekeurige code uit te voeren op een aan internet blootgestelde server met de kwetsbare software, zonder geldige inloggegevens . CISA voegde deze kwetsbaarheid op 25 juni 2026 toe aan de Known Exploited Vulnerabilities (KEV)-catalogus .

De aanvalsketen: Aanvallers gebruikten CVE-2026-12569 niet geïsoleerd. Ze combineerden het met een pre-authenticatie informatielek in het FlexPLM WSDL-eindpunt . Deze keten stelde aanvallers in staat om:

1. Systeemdetails te verzamelen zonder in te loggen.
2. CVE-2026-12569 te misbruiken om hexadecimaal genaamde JSP-webshells op doelwit-servers te plaatsen.
3. De webshells te gebruiken om bestanden te inventariseren, technische en ontwerpgegevens klaar te zetten en deze uit het netwerk te exfiltreren .

Tijdlijn van gebeurtenissen:

• Begin juni 2026: Onderzoekers schatten dat Cl0p-gelieerde actoren CVE-2026-12569 waarschijnlijk als zero-day uitbuitten, voordat er een patch bestond .
• 17 juni 2026: PTC maakte de kwetsbaarheid openbaar en bracht een beveiligingspatch uit .
• 25 juni 2026: CISA voegde CVE-2026-12569 toe aan de Known Exploited Vulnerabilities-catalogus .
• 22 juli 2026: ReliaQuest meldde openlijk waarnemingen van dreigingsactoren die de fout actief uitbuitten .
• 12 augustus 2026: Cl0p plaatste de namen van ongeveer 50 slachtofferbedrijven op de afpersingssite .

Hoe dit past in het bekende afpersingsmodel van Cl0p

Deze campagne is een schoolvoorbeeld van Cl0p's operationele model: data-exfiltratie zonder versleuteling. De groep plaatste geen bestandversleutelende ransomware op de doelsystemen. In plaats daarvan richtten ze zich op :

• Pure datadiefstal: Het doel was het stelen van gevoelige technische ontwerpen, productontwerpen en productiespecificaties, niet het vergrendelen van bestanden .
• Naming and shaming: Cl0p oefent druk uit door slachtoffernamen en datavolumes op de openbare leksite te plaatsen. Ze dreigen de gestolen data te publiceren tenzij er wordt betaald, in plaats van de toegang tot systemen te blokkeren .
• Massaal, gelijktijdig doelwit via een softwaretoeleveringsketen: Cl0p staat bekend om deze 'big-game hunting'-aanpak. Ze maken misbruik van een kritieke kwetsbaarheid in één enkel bedrijfssoftwareproduct – eerder MOVEit Transfer en GoAnywhere MFT, en nu PTC Windchill – om met één exploit in één keer meerdere slachtoffers te treffen . Dit levert maximale afpersingsmogelijkheden op met relatief lage operationele kosten.

Kortom, Cl0p bewapende een enkele zero-day kwetsbaarheid (CVE-2026-12569) om ongeveer 50 organisaties wereldwijd te compromitteren, vertrouwelijke ontwerp- en engineeringdata te stelen, en vervolgens het standaard afpersingsdraaiboek toe te passen: namen publiceren, lekken dreigen en betaling eisen.