Co twierdzi Cl0p

Oskarżenia grupy, szeroko opisywane przez Reutera, są szczegółowe. Hakerzy utrzymują, że do włamania doszło wyłącznie dzięki jednej luce w oprogramowaniu, a nie serii oddzielnych incydentów . Zadeklarowany łup to:

• Shell: Około 89 GB danych. Cl0p twierdzi, że są to rysunki projektowe obiektów energetycznych, zdjęcia zakładów przemysłowych, skany raportów z testów oraz szczegółowe plany projektowe .
• Philips: Około 13,5 GB danych. Skradzione materiały to głównie schematy, plany i inne rysunki techniczne .
• Fiserv i GE: Firmy te widnieją na liście Cl0p, ale w początkowych oświadczeniach grupy nie podano osobnych danych dotyczących objętości ani zawartości dla nich .

Ważne zastrzeżenie: Lista ofiar i deklarowane objętości danych pochodzą od samej grupy Cl0p i nie zostały niezależnie potwierdzone przez firmy ochroniarskie ani wymienione firmy .

Jak zareagowały główne firmy

Firmy zareagowały z różnym stopniem potwierdzenia i szczegółowości, wszystkie pozostają w fazie dochodzenia lub zabezpieczania. Żadna z nich nie potwierdziła w pełni oskarżeń Cl0p.

• Philips: Najbardziej zdecydowana odpowiedź padła ze strony holenderskiego giganta technologii medycznej. Philips potwierdził, że „zidentyfikował i zabezpieczył próbę naruszenia cyberbezpieczeństwa konkretnego serwera firmowego związanego z danymi wewnętrznymi”. Firma oświadczyła, że incydent nie miał wpływu na klientów .
• Shell: Koncern energetyczny oświadczył, że bada „możliwy incydent” i współpracuje z zespołami ds. bezpieczeństwa oraz odpowiednimi ekspertami w celu wyjaśnienia sytuacji . Firma nie potwierdziła ani nie zaprzeczyła, że doszło do naruszenia.
• Fiserv i GE: Obie firmy zostały wymienione przez Cl0p, ale według najnowszych doniesień nie wydały szczegółowych oświadczeń publicznych potwierdzających lub zaprzeczających naruszeniu .

Prawdopodobny wektor ataku: CVE-2026-12569 (PTC Windchill)

Skoordynowany alert wydany przez Ransom-ISAC, eCrime.ch i DEFUSED połączył tę kampanię z wykorzystaniem CVE-2026-12569, krytycznej luki w PTC Windchill PDMLink i PTC FlexPLM .

Czym jest CVE-2026-12569? To krytyczna luka w zabezpieczeniach umożliwiająca zdalne wykonanie kodu (RCE – remote code execution), spowodowana pustą deserializacją niezaufanych danych . Ma ona wynik CVSS 9,8 (krytyczny) i dotyczy wersji Windchill i FlexPLM starszych niż 11.0 M030 . Luka umożliwia nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu na serwerze narażonym na działanie sieci Internet, bez konieczności posiadania ważnych danych logowania . Amerykańska agencja CISA dodała tę lukę do swojego katalogu znanych exploitów (KEV – Known Exploited Vulnerabilities) 25 czerwca 2026 r. .

Łańcuch ataku: Atakujący nie wykorzystali CVE-2026-12569 w izolacji. Połączyli ją z przedautoryzacyjnym ujawnieniem informacji w punkcie końcowym WSDL w FlexPLM . Łańcuch ten pozwolił atakującym:

1. Zebrać szczegóły systemu bez logowania.
2. Wykorzystać CVE-2026-12569 do wdrożenia shellów internetowych JSP o szesnastkowych nazwach na docelowych serwerach.
3. Użyć shelli internetowych do przeglądania plików, przygotowywania danych inżynieryjnych i projektowych oraz ich eksfiltracji z sieci .

Oś czasu zdarzeń:

• Początek czerwca 2026 r.: Badacze oceniają, że hakerzy powiązani z Cl0p prawdopodobnie wykorzystywali CVE-2026-12569 jako lukę dnia zerowego (zero-day), jeszcze przed pojawieniem się łatki .
• 17 czerwca 2026 r.: Firma PTC publicznie ujawniła lukę i wydała poprawkę bezpieczeństwa .
• 25 czerwca 2026 r.: CISA dodała CVE-2026-12569 do swojego katalogu znanych exploitów .
• 22 lipca 2026 r.: ReliaQuest publicznie poinformował o obserwacjach aktywnych ataków z wykorzystaniem tej luki .
• 12 sierpnia 2026 r.: Cl0p opublikował nazwiska około 50 firm na swojej stronie wymuszeń .

Jak to wpisuje się w model wymuszeń Cl0p

Ta kampania jest doskonałym przykładem modelu działania Cl0p – eksfiltracji danych bez szyfrowania. Grupa nie wdrożyła oprogramowania ransomware szyfrującego pliki w systemach docelowych. Zamiast tego skupiła się na :

• Czystej kradzieży danych: Celem była kradzież poufnych planów inżynieryjnych, projektów produktów i specyfikacji produkcyjnych, a nie blokowanie plików .
• Publicznym nękaniu i zawstydzaniu: Cl0p wywiera presję, publikując nazwy ofiar i objętości danych na swojej publicznej stronie z wyciekami. Grożą opublikowaniem skradzionych danych, jeśli nie otrzymają okupu, zamiast blokowania dostępu do systemów .
• Masowym, jednoczesnym ataku na łańcuch dostaw oprogramowania: Cl0p słynie z tego stylu „polowania na grubą zwierzynę” (big-game hunting). Wykorzystują krytyczną lukę w jednym produkcie korporacyjnym – wcześniej MOVEit Transfer i GoAnywhere MFT, a teraz PTC Windchill – do jednoczesnego naruszenia wielu ofiar jednym exploitem . Pozwala im to uzyskać maksymalną siłę nacisku przy stosunkowo niskich kosztach operacyjnych.

Krótko mówiąc, Cl0p uzbroił pojedynczą lukę dnia zerowego (CVE-2026-12569) w celu naruszenia około 50 organizacji na całym świecie, ukradł wrażliwe dane inżynieryjne i projektowe, a następnie zastosował swój standardowy scenariusz wymuszeń: opublikuj nazwy firm, zagroź wyciekiem i żądaj zapłaty.

Co twierdzi Cl0p

Oskarżenia grupy, szeroko opisywane przez Reutera, są szczegółowe. Hakerzy utrzymują, że do włamania doszło wyłącznie dzięki jednej luce w oprogramowaniu, a nie serii oddzielnych incydentów . Zadeklarowany łup to:

• Shell: Około 89 GB danych. Cl0p twierdzi, że są to rysunki projektowe obiektów energetycznych, zdjęcia zakładów przemysłowych, skany raportów z testów oraz szczegółowe plany projektowe .
• Philips: Około 13,5 GB danych. Skradzione materiały to głównie schematy, plany i inne rysunki techniczne .
• Fiserv i GE: Firmy te widnieją na liście Cl0p, ale w początkowych oświadczeniach grupy nie podano osobnych danych dotyczących objętości ani zawartości dla nich .

Ważne zastrzeżenie: Lista ofiar i deklarowane objętości danych pochodzą od samej grupy Cl0p i nie zostały niezależnie potwierdzone przez firmy ochroniarskie ani wymienione firmy .

Jak zareagowały główne firmy

Firmy zareagowały z różnym stopniem potwierdzenia i szczegółowości, wszystkie pozostają w fazie dochodzenia lub zabezpieczania. Żadna z nich nie potwierdziła w pełni oskarżeń Cl0p.

• Philips: Najbardziej zdecydowana odpowiedź padła ze strony holenderskiego giganta technologii medycznej. Philips potwierdził, że „zidentyfikował i zabezpieczył próbę naruszenia cyberbezpieczeństwa konkretnego serwera firmowego związanego z danymi wewnętrznymi”. Firma oświadczyła, że incydent nie miał wpływu na klientów .
• Shell: Koncern energetyczny oświadczył, że bada „możliwy incydent” i współpracuje z zespołami ds. bezpieczeństwa oraz odpowiednimi ekspertami w celu wyjaśnienia sytuacji . Firma nie potwierdziła ani nie zaprzeczyła, że doszło do naruszenia.
• Fiserv i GE: Obie firmy zostały wymienione przez Cl0p, ale według najnowszych doniesień nie wydały szczegółowych oświadczeń publicznych potwierdzających lub zaprzeczających naruszeniu .

Prawdopodobny wektor ataku: CVE-2026-12569 (PTC Windchill)

Skoordynowany alert wydany przez Ransom-ISAC, eCrime.ch i DEFUSED połączył tę kampanię z wykorzystaniem CVE-2026-12569, krytycznej luki w PTC Windchill PDMLink i PTC FlexPLM .

Czym jest CVE-2026-12569? To krytyczna luka w zabezpieczeniach umożliwiająca zdalne wykonanie kodu (RCE – remote code execution), spowodowana pustą deserializacją niezaufanych danych . Ma ona wynik CVSS 9,8 (krytyczny) i dotyczy wersji Windchill i FlexPLM starszych niż 11.0 M030 . Luka umożliwia nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu na serwerze narażonym na działanie sieci Internet, bez konieczności posiadania ważnych danych logowania . Amerykańska agencja CISA dodała tę lukę do swojego katalogu znanych exploitów (KEV – Known Exploited Vulnerabilities) 25 czerwca 2026 r. .

Łańcuch ataku: Atakujący nie wykorzystali CVE-2026-12569 w izolacji. Połączyli ją z przedautoryzacyjnym ujawnieniem informacji w punkcie końcowym WSDL w FlexPLM . Łańcuch ten pozwolił atakującym:

1. Zebrać szczegóły systemu bez logowania.
2. Wykorzystać CVE-2026-12569 do wdrożenia shellów internetowych JSP o szesnastkowych nazwach na docelowych serwerach.
3. Użyć shelli internetowych do przeglądania plików, przygotowywania danych inżynieryjnych i projektowych oraz ich eksfiltracji z sieci .

Oś czasu zdarzeń:

• Początek czerwca 2026 r.: Badacze oceniają, że hakerzy powiązani z Cl0p prawdopodobnie wykorzystywali CVE-2026-12569 jako lukę dnia zerowego (zero-day), jeszcze przed pojawieniem się łatki .
• 17 czerwca 2026 r.: Firma PTC publicznie ujawniła lukę i wydała poprawkę bezpieczeństwa .
• 25 czerwca 2026 r.: CISA dodała CVE-2026-12569 do swojego katalogu znanych exploitów .
• 22 lipca 2026 r.: ReliaQuest publicznie poinformował o obserwacjach aktywnych ataków z wykorzystaniem tej luki .
• 12 sierpnia 2026 r.: Cl0p opublikował nazwiska około 50 firm na swojej stronie wymuszeń .

Jak to wpisuje się w model wymuszeń Cl0p

Ta kampania jest doskonałym przykładem modelu działania Cl0p – eksfiltracji danych bez szyfrowania. Grupa nie wdrożyła oprogramowania ransomware szyfrującego pliki w systemach docelowych. Zamiast tego skupiła się na :

• Czystej kradzieży danych: Celem była kradzież poufnych planów inżynieryjnych, projektów produktów i specyfikacji produkcyjnych, a nie blokowanie plików .
• Publicznym nękaniu i zawstydzaniu: Cl0p wywiera presję, publikując nazwy ofiar i objętości danych na swojej publicznej stronie z wyciekami. Grożą opublikowaniem skradzionych danych, jeśli nie otrzymają okupu, zamiast blokowania dostępu do systemów .
• Masowym, jednoczesnym ataku na łańcuch dostaw oprogramowania: Cl0p słynie z tego stylu „polowania na grubą zwierzynę” (big-game hunting). Wykorzystują krytyczną lukę w jednym produkcie korporacyjnym – wcześniej MOVEit Transfer i GoAnywhere MFT, a teraz PTC Windchill – do jednoczesnego naruszenia wielu ofiar jednym exploitem . Pozwala im to uzyskać maksymalną siłę nacisku przy stosunkowo niskich kosztach operacyjnych.

Krótko mówiąc, Cl0p uzbroił pojedynczą lukę dnia zerowego (CVE-2026-12569) w celu naruszenia około 50 organizacji na całym świecie, ukradł wrażliwe dane inżynieryjne i projektowe, a następnie zastosował swój standardowy scenariusz wymuszeń: opublikuj nazwy firm, zagroź wyciekiem i żądaj zapłaty.