Kradzież danych z 50+ firm: Grupa Cl0p uderza przez lukę w PTC Windchill

12 sierpnia 2026 r. powiązana z Rosją grupa ransomware Cl0p (znana też jako FIN11, Graceful Spider lub Lace Tempest) opublikowała na swojej stronie wymuszeń na darknecie listę prawie 50 firm, które rzekomo padły ofiarą masowej kradzieży danych . Według hakerów, ukradli oni ogromne ilości poufnych danych firmowych – w tym plany inżynieryjne, rysunki techniczne i projekty produkcyjne – od największych koncernów na świecie, m.in. Shell, Philips, Fiserv i General Electric (GE) . Poniżej szczegółowo opisujemy atak, wykorzystaną lukę oraz reakcje poszczególnych firm.

Co twierdzi Cl0p

Oskarżenia grupy, szeroko opisywane przez Reutera, są szczegółowe. Hakerzy utrzymują, że do włamania doszło wyłącznie dzięki jednej luce w oprogramowaniu, a nie serii oddzielnych incydentów . Zadeklarowany łup to:

• Shell: Około 89 GB danych. Cl0p twierdzi, że są to rysunki projektowe obiektów energetycznych, zdjęcia zakładów przemysłowych, skany raportów z testów oraz szczegółowe plany projektowe .
• Philips: Około 13,5 GB danych. Skradzione materiały to głównie schematy, plany i inne rysunki techniczne .
• Fiserv i GE: Firmy te widnieją na liście Cl0p, ale w początkowych oświadczeniach grupy nie podano osobnych danych dotyczących objętości ani zawartości dla nich .

Ważne zastrzeżenie: Lista ofiar i deklarowane objętości danych pochodzą od samej grupy Cl0p i nie zostały niezależnie potwierdzone przez firmy ochroniarskie ani wymienione firmy .

Jak zareagowały główne firmy

Firmy zareagowały z różnym stopniem potwierdzenia i szczegółowości, wszystkie pozostają w fazie dochodzenia lub zabezpieczania. Żadna z nich nie potwierdziła w pełni oskarżeń Cl0p.

• Philips: Najbardziej zdecydowana odpowiedź padła ze strony holenderskiego giganta technologii medycznej. Philips potwierdził, że „zidentyfikował i zabezpieczył próbę naruszenia cyberbezpieczeństwa konkretnego serwera firmowego związanego z danymi wewnętrznymi”. Firma oświadczyła, że incydent nie miał wpływu na klientów .
• Shell: Koncern energetyczny oświadczył, że bada „możliwy incydent” i współpracuje z zespołami ds. bezpieczeństwa oraz odpowiednimi ekspertami w celu wyjaśnienia sytuacji . Firma nie potwierdziła ani nie zaprzeczyła, że doszło do naruszenia.
• Fiserv i GE: Obie firmy zostały wymienione przez Cl0p, ale według najnowszych doniesień nie wydały szczegółowych oświadczeń publicznych potwierdzających lub zaprzeczających naruszeniu .

Prawdopodobny wektor ataku: CVE-2026-12569 (PTC Windchill)

Skoordynowany alert wydany przez Ransom-ISAC, eCrime.ch i DEFUSED połączył tę kampanię z wykorzystaniem CVE-2026-12569, krytycznej luki w PTC Windchill PDMLink i PTC FlexPLM .

Czym jest CVE-2026-12569? To krytyczna luka w zabezpieczeniach umożliwiająca zdalne wykonanie kodu (RCE – remote code execution), spowodowana pustą deserializacją niezaufanych danych . Ma ona wynik CVSS 9,8 (krytyczny) i dotyczy wersji Windchill i FlexPLM starszych niż 11.0 M030 . Luka umożliwia nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu na serwerze narażonym na działanie sieci Internet, bez konieczności posiadania ważnych danych logowania . Amerykańska agencja CISA dodała tę lukę do swojego katalogu znanych exploitów (KEV – Known Exploited Vulnerabilities) 25 czerwca 2026 r. .

Łańcuch ataku: Atakujący nie wykorzystali CVE-2026-12569 w izolacji. Połączyli ją z przedautoryzacyjnym ujawnieniem informacji w punkcie końcowym WSDL w FlexPLM . Łańcuch ten pozwolił atakującym:

1. Zebrać szczegóły systemu bez logowania.
2. Wykorzystać CVE-2026-12569 do wdrożenia shellów internetowych JSP o szesnastkowych nazwach na docelowych serwerach.
3. Użyć shelli internetowych do przeglądania plików, przygotowywania danych inżynieryjnych i projektowych oraz ich eksfiltracji z sieci .

Oś czasu zdarzeń:

• Początek czerwca 2026 r.: Badacze oceniają, że hakerzy powiązani z Cl0p prawdopodobnie wykorzystywali CVE-2026-12569 jako lukę dnia zerowego (zero-day), jeszcze przed pojawieniem się łatki .
• 17 czerwca 2026 r.: Firma PTC publicznie ujawniła lukę i wydała poprawkę bezpieczeństwa .
• 25 czerwca 2026 r.: CISA dodała CVE-2026-12569 do swojego katalogu znanych exploitów .
• 22 lipca 2026 r.: ReliaQuest publicznie poinformował o obserwacjach aktywnych ataków z wykorzystaniem tej luki .
• 12 sierpnia 2026 r.: Cl0p opublikował nazwiska około 50 firm na swojej stronie wymuszeń .

Jak to wpisuje się w model wymuszeń Cl0p

Ta kampania jest doskonałym przykładem modelu działania Cl0p – eksfiltracji danych bez szyfrowania. Grupa nie wdrożyła oprogramowania ransomware szyfrującego pliki w systemach docelowych. Zamiast tego skupiła się na :

• Czystej kradzieży danych: Celem była kradzież poufnych planów inżynieryjnych, projektów produktów i specyfikacji produkcyjnych, a nie blokowanie plików .
• Publicznym nękaniu i zawstydzaniu: Cl0p wywiera presję, publikując nazwy ofiar i objętości danych na swojej publicznej stronie z wyciekami. Grożą opublikowaniem skradzionych danych, jeśli nie otrzymają okupu, zamiast blokowania dostępu do systemów .
• Masowym, jednoczesnym ataku na łańcuch dostaw oprogramowania: Cl0p słynie z tego stylu „polowania na grubą zwierzynę” (big-game hunting). Wykorzystują krytyczną lukę w jednym produkcie korporacyjnym – wcześniej MOVEit Transfer i GoAnywhere MFT, a teraz PTC Windchill – do jednoczesnego naruszenia wielu ofiar jednym exploitem . Pozwala im to uzyskać maksymalną siłę nacisku przy stosunkowo niskich kosztach operacyjnych.

Krótko mówiąc, Cl0p uzbroił pojedynczą lukę dnia zerowego (CVE-2026-12569) w celu naruszenia około 50 organizacji na całym świecie, ukradł wrażliwe dane inżynieryjne i projektowe, a następnie zastosował swój standardowy scenariusz wymuszeń: opublikuj nazwy firm, zagroź wyciekiem i żądaj zapłaty.