Cl0p vs. Fortune 500: Slik stjal hackerne data fra Shell, Philips og titalls andre

Den 12. august 2026 publiserte den russisk-tilknyttede ransomware-gruppen Cl0p (også kjent som FIN11, Graceful Spider eller Lace Tempest) en liste over nesten 50 offerselskaper på sin utpressingsside på det mørke nettet . Gruppen hevdet å ha stjålet enorme mengder sensitiv bedriftsdata, inkludert ingeniørtegninger, tekniske tegninger og prosjektplaner, fra noen av verdens største selskaper, deriblant Shell, Philips, Fiserv og General Electric (GE) . Denne artikkelen bryter ned angrepet, zero-day-sårbarheten som ble brukt, og hvordan hvert selskap har respondert.

Hva Cl0p hevdet

Gruppens påstander, rapportert bredt av blant andre Reuters, er spesifikke og detaljerte. De hevder at innbruddet støttet seg på én enkelt programvaresårbarhet, snarere enn flere separate angrep . Det påståtte datautbyttet inkluderer:

• Shell: Omtrent 89 GB data. Cl0p hevder at dette inkluderer prosjektskisser for energianlegg, fotografier av industrianlegg, skanninger av testrapporter og detaljerte prosjektplaner .
• Philips: Omtrent 13,5 GB data. Det stjålne materialet skal hovedsakelig bestå av diagrammer, tegninger og andre tekniske tegninger .
• Fiserv og GE: Disse selskapene ble listet opp på Cl0ps side, men spesifikke datamengder eller innhold ble ikke detaljert i gruppens første offentlige uttalelser .

Viktig forbehold: Listen over ofre og de påståtte datamengdene stammer fra Cl0p selv og er ikke uavhengig verifisert av sikkerhetsforskere eller de navngitte selskapene .

Hvordan store selskaper responderte

De målrettede selskapene har respondert med varierende grad av bekreftelse og detaljer, men alle befinner seg i en undersøkelses- eller begrensningsfase. Ingen har uavhengig bekreftet hele omfanget av Cl0ps påstander.

• Philips: Den mest definitive responsen kom fra den nederlandske helseteknologigiganten. Philips bekreftet at de «oppdaget og begrenset et forsøk på et cybersikkerhetskompromiss av en spesifikk bedriftsserver relatert til intern data.» Selskapet uttalte at hendelsen ikke påvirket kunder .
• Shell: Energigiganten uttalte at de etterforsker en «mulig hendelse» og jobber med sikkerhetsteam og relevante eksperter for å forstå situasjonen . Selskapet har verken bekreftet eller avkreftet et datainnbrudd.
• Fiserv og GE: Begge selskapene ble navngitt av Cl0p, men per de siste rapportene har de ikke kommet med detaljerte offentlige uttalelser som bekrefter eller avkrefter innbruddet .

Den mistenkte angrepsvektoren: CVE-2026-12569 (PTC Windchill)

En koordinert rådgivning fra Ransom-ISAC, eCrime.ch og DEFUSED knyttet denne kampanjen til utnyttelsen av CVE-2026-12569, en kritisk sårbarhet i PTC Windchill PDMLink og PTC FlexPLM .

Hva er CVE-2026-12569? Dette er en kritisk sårbarhet for ekstern kjøring av kode (RCE) forårsaket av deserialisering av upålitelige data . Den har en CVSS-score på 9,8 (kritisk) og påvirker Windchill- og FlexPLM-utgivelser før versjon 11.0 M030 . Sårbarheten gjør at en uautentisert angriper kan utføre vilkårlig kode på en internett-eksponert server som kjører den sårbare programvaren, uten gyldige legitimasjonsopplysninger . CISA la til denne sårbarheten i sin katalog over kjente utnyttede sårbarheter (KEV) 25. juni 2026 .

Utnyttelseskjeden: Angriperne brukte ikke CVE-2026-12569 isolert. De koblet den sammen med en sårbarhet for informasjonslekkasje før autentisering i FlexPLM WSDL-endepunktet . Denne kjeden tillot angriperne å:

1. Samle systemdetaljer uten å logge inn.
2. Utnytte CVE-2026-12569 til å distribuere JSP-webshells med heksadesimale navn på målrettede servere.
3. Bruke webshells til å liste opp filer, klargjøre ingeniør- og designdata, og eksfiltrere dem fra nettverket .

Tidslinje for hendelser:

• Tidlig juni 2026: Forskere vurderer at Cl0p-tilknyttede aktører sannsynligvis utnyttet CVE-2026-12569 som en zero-day, før en oppdatering eksisterte .
• 17. juni 2026: PTC offentliggjorde sårbarheten og ga ut en sikkerhetsoppdatering .
• 25. juni 2026: CISA la CVE-2026-12569 til i sin katalog over kjente utnyttede sårbarheter .
• 22. juli 2026: ReliaQuest rapporterte offentlig observasjoner av trusselaktører som aktivt utnyttet feilen .
• 12. august 2026: Cl0p legger ut navnene på ~50 offerselskaper på sin utpressingsside .

Hvordan dette passer Cl0ps etablerte utpressingsmodell

Denne kampanjen er et skoleeksempel på Cl0ps operasjonelle modell – datatyveri uten kryptering. Gruppen distribuerte ikke filkrypterende ransomware på de målrettede systemene. I stedet fokuserte de på :

• Rent datatyveri: Målet var å stjele sensitive ingeniørtegninger, produktdesign og produksjonsspesifikasjoner, ikke å låse filer .
• Naming and shaming: Cl0p legger press ved å liste opp ofres navn og datamengder på sitt offentlige lekkasjenettsted. De truer med å publisere de stjålne dataene med mindre de får betalt, i stedet for å nekte tilgang til systemer .
• Masseangrep, samtidig via en programvareforsyningskjede: Cl0p er beryktet for denne «big-game hunting»-tilnærmingen. De utnytter en kritisk sårbarhet i et enkelt bedriftsprogramvareprodukt – tidligere MOVEit Transfer og GoAnywhere MFT, og nå PTC Windchill – for å kompromittere mange ofre samtidig med ett enkelt angrep . Dette gir maksimal utpressingsinnflytelse med relativt lav operasjonell overhead.

Kort sagt: Cl0p utnyttet en enkelt zero-day-sårbarhet (CVE-2026-12569) for å kompromittere ~50 organisasjoner globalt, stjal sensitivt design- og ingeniørdata, og anvendte deretter sin standard utpressingsspillebok: publiser navn, tru med lekkasjer, og krev betaling.