Cl0p alega roubo de dados em massa de mais de 50 empresas: a análise completa do ataque ao PTC Windchill

No dia 12 de agosto de 2026, o grupo de ransomware Cl0p, ligado à Rússia (também conhecido como FIN11, Graceful Spider ou Lace Tempest), publicou uma lista com quase 50 empresas em seu site de extorsão na dark web . O grupo alega ter roubado uma quantidade massiva de dados corporativos sigilosos — incluindo plantas de engenharia, desenhos técnicos e cronogramas de projetos — de algumas das maiores corporações do mundo, como Shell, Philips, Fiserv e General Electric (GE) . Este artigo detalha o ataque, a vulnerabilidade de dia zero utilizada e como cada empresa respondeu.

O que o Cl0p alegou

As alegações do grupo, amplamente divulgadas por veículos como a Reuters, são específicas e detalhadas. O Cl0p afirma que a violação se baseou em uma única vulnerabilidade de software, e não em múltiplas invasões separadas . O volume de dados roubados inclui:

• Shell: Aproximadamente 89 GB de dados. O Cl0p alega que isso inclui desenhos de projetos de instalações de energia, fotografias de locais industriais, digitalizações de relatórios de testes e cronogramas detalhados de projetos .
• Philips: Aproximadamente 13,5 GB de dados. O material roubado seria composto principalmente por diagramas, plantas baixas e outros desenhos técnicos .
• Fiserv e GE: Essas empresas foram listadas no site do Cl0p, embora volumes ou conteúdos específicos não tenham sido detalhados separadamente nas declarações iniciais do grupo .

Observação Importante: A lista de vítimas e os volumes de dados reivindicados são provenientes do próprio Cl0p e não foram verificados de forma independente por pesquisadores de segurança ou pelas empresas nomeadas .

Como as grandes empresas reagiram

As empresas alvo responderam com diferentes graus de confirmação e detalhes, todas ainda em fase de investigação ou contenção. Nenhuma confirmou de forma independente a extensão total das alegações do Cl0p.

• Philips: A resposta mais definitiva veio da gigante holandesa de tecnologia em saúde. A Philips confirmou que identificou e conteve uma tentativa de comprometimento cibernético de um servidor corporativo específico relacionado a dados internos. A empresa afirmou que o incidente não teve impacto sobre os clientes .
• Shell: A gigante de energia declarou que está investigando um 'possível incidente' e trabalhando com equipes de segurança e especialistas relevantes para entender a situação . A empresa não confirmou nem negou a violação.
• Fiserv e GE: Ambas as empresas foram nomeadas pelo Cl0p, mas, até o momento dos últimos relatórios, não emitiram declarações públicas detalhadas que confirmassem ou negassem a violação .

O vetor de ataque suspeito: CVE-2026-12569 (PTC Windchill)

Um comunicado conjunto do Ransom-ISAC, eCrime.ch e DEFUSED vinculou esta campanha à exploração da CVE-2026-12569, uma vulnerabilidade crítica no PTC Windchill PDMLink e no PTC FlexPLM .

O que é a CVE-2026-12569? Trata-se de uma falha crítica de execução remota de código (RCE) causada pela desserialização de dados não confiáveis . Ela possui uma pontuação CVSS de 9,8 (Crítica) e afeta as versões do Windchill e FlexPLM anteriores à 11.0 M030 . A vulnerabilidade permite que um atacante não autenticado execute código arbitrário em um servidor exposto à internet que execute o software vulnerável, sem a necessidade de credenciais válidas . A CISA (Agência de Segurança Cibernética e de Infraestrutura dos EUA) adicionou esta vulnerabilidade ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) em 25 de junho de 2026 .

A Cadeia de Exploração: Os atacantes não usaram a CVE-2026-12569 isoladamente. Eles a combinaram com uma falha de divulgação de informações pré-autenticação no endpoint WSDL do FlexPLM . Essa cadeia permitiu que os atacantes:

1. Coletassem detalhes do sistema sem fazer login.
2. Explorassem a CVE-2026-12569 para implantar webshells JSP com nomes hexadecimais em servidores alvo.
3. Usassem os webshells para enumerar arquivos, preparar dados de engenharia e design e exfiltrá-los da rede .

Cronologia dos Eventos:

• Início de junho de 2026: Pesquisadores avaliam que atores afiliados ao Cl0p provavelmente estavam explorando a CVE-2026-12569 como um dia zero — antes de existir uma correção .
• 17 de junho de 2026: A PTC divulgou publicamente a vulnerabilidade e lançou uma atualização de segurança .
• 25 de junho de 2026: A CISA adicionou a CVE-2026-12569 ao seu catálogo de Vulnerabilidades Exploradas Conhecidas .
• 22 de julho de 2026: A ReliaQuest relatou publicamente observações de atores de ameaças explorando ativamente a falha .
• 12 de agosto de 2026: O Cl0p publica os nomes de cerca de 50 empresas vítimas em seu site de extorsão .

Como isso se encaixa no modelo de extorsão estabelecido do Cl0p

Esta campanha é um exemplo clássico do modelo operacional do Cl0p — exfiltração de dados sem criptografia. O grupo não implantou ransomware de criptografia de arquivos nos sistemas alvo. Em vez disso, focou em :

• Roubo Puro de Dados: O objetivo era roubar plantas de engenharia, designs de produtos e especificações de fabricação sigilosas, e não bloquear arquivos .
• Nomear e Envergonhar: O Cl0p aplica pressão listando os nomes das vítimas e os volumes de dados em seu site público de vazamentos. Eles ameaçam publicar os dados roubados a menos que recebam o pagamento, em vez de negar o acesso aos sistemas .
• Alvo em Massa e Simultâneo via uma Cadeia de Suprimentos de Software: O Cl0p é notório por essa abordagem de 'caça grossa'. Eles exploram uma vulnerabilidade crítica em um único produto de software empresarial — anteriormente o MOVEit Transfer e o GoAnywhere MFT, e agora o PTC Windchill — para comprometer muitas vítimas de uma só vez com um único exploit . Isso permite o máximo de alavancagem de extorsão com um custo operacional relativamente baixo.

Em resumo, o Cl0p transformou uma única vulnerabilidade de dia zero (CVE-2026-12569) em uma arma para comprometer cerca de 50 organizações globalmente, roubou dados sigilosos de engenharia e design e, em seguida, aplicou seu manual de extorsão padrão: publicar nomes, ameaçar vazamentos e exigir pagamento.