Хакерская группировка Cl0p заявила о краже данных у Shell, Philips и десятков других компаний

• Shell: Примерно 89 ГБ данных. Cl0p утверждает, что среди них — чертежи проектов энергетических объектов, фотографии промышленных площадок, сканы отчётов об испытаниях и подробные планы проектов .
• Philips: Примерно 13,5 ГБ данных. По словам хакеров, похищенный материал в основном состоит из диаграмм, чертежей и других технических схем .
• Fiserv и GE: Эти компании также были в списке Cl0p, однако в первых заявлениях группировка не приводила конкретных объёмов или содержания данных по ним .

Важное примечание: Список жертв и заявленные объёмы данных исходят от самой Cl0p и на данный момент не были независимо подтверждены ни компаниями-жертвами, ни исследователями в области безопасности .

Как отреагировали крупные компании

Реакция компаний различается по степени детализации, но все они находятся на стадии расследования или локализации угрозы. Никто из них пока не подтвердил полный масштаб утечки, о которой заявляет Cl0p.

• Philips: Самый определённый ответ дал нидерландский гигант в области медицинских технологий. Philips подтвердил, что «выявил и локализовал попытку киберкомпрометации конкретного корпоративного сервера, связанного с внутренними данными». Компания подчеркнула, что инцидент не затронул клиентские системы .
• Shell: Нефтяная компания заявила, что расследует «возможный инцидент» и работает со службами безопасности и привлечёнными экспертами для выяснения обстоятельств . Компания пока не подтвердила и не опровергла факт взлома.
• Fiserv и GE: Обе компании были названы Cl0p, но, по последним данным, они не опубликовали подробных официальных заявлений, подтверждающих или опровергающих взлом .

Предполагаемый вектор атаки: CVE-2026-12569 (PTC Windchill)

В совместном предупреждении организаций Ransom-ISAC, eCrime.ch и DEFUSED эта кампания была связана с эксплуатацией уязвимости CVE-2026-12569 в продуктах PTC Windchill PDMLink и PTC FlexPLM .

Что такое CVE-2026-12569? Это критическая уязвимость, приводящая к удалённому выполнению кода (RCE) из-за десериализации недоверенных данных . Она имеет оценку CVSS 9,8 (критическая) и затрагивает версии Windchill и FlexPLM до 11.0 M030 . Уязвимость позволяет неаутентифицированному злоумышленнику выполнить произвольный код на сервере, доступном через интернет, без наличия учётных данных . Агентство CISA (США) добавило эту уязвимость в свой каталог известных эксплуатируемых уязвимостей (KEV) 25 июня 2026 года .

Цепочка эксплуатации: Атакующие не использовали CVE-2026-12569 в изоляции. Они объединили её с уязвимостью раскрытия информации до аутентификации в WSDL-интерфейсе FlexPLM . Эта цепочка позволяла злоумышленникам:

1. Собирать сведения о системе без входа в неё.
2. Используя CVE-2026-12569, развёртывать на целевых серверах JSP-веб-шеллы с шестнадцатеричными именами.
3. С помощью веб-шеллов перечислять файлы, отбирать инженерные и проектные данные и выгружать их из сети .

Хронология событий:

• Начало июня 2026 года: По оценкам исследователей, связанные с Cl0p хакеры, вероятно, эксплуатировали CVE-2026-12569 как уязвимость нулевого дня — ещё до выхода патча .
• 17 июня 2026 года: Компания PTC публично раскрыла информацию об уязвимости и выпустила патч безопасности .
• 25 июня 2026 года: CISA добавила CVE-2026-12569 в свой каталог известных эксплуатируемых уязвимостей .
• 22 июля 2026 года: Компания ReliaQuest сообщила, что наблюдает активную эксплуатацию этой уязвимости злоумышленниками .
• 12 августа 2026 года: Cl0p публикует на своём сайте вымогателей список из ~50 компаний-жертв .

Как эта атака вписывается в модель вымогательства Cl0p

Эта кампания — классический пример операционной модели Cl0p — кража данных без шифрования. Группировка не развёртывала программы-шифровальщики на атакованных системах. Вместо этого они сосредоточились на :

• Чистой краже данных: Целью было похитить конфиденциальные инженерные чертежи, дизайны продуктов и производственные спецификации, а не заблокировать файлы .
• Публичном «шельмовании»: Cl0p оказывает давление, публикуя названия компаний-жертв и объёмы похищенных данных на своём сайте. Они угрожают опубликовать данные, если выкуп не будет выплачен, а не блокируют доступ к системам .
• Массовых, одновременных атаках через цепочку поставок ПО: Cl0p печально известна своей тактикой «охоты на крупную дичь». Они эксплуатируют критическую уязвимость в одном корпоративном продукте — ранее это были MOVEit Transfer и GoAnywhere MFT, а теперь PTC Windchill — чтобы скомпрометировать множество жертв одной атакой . Это позволяет получить максимальный рычаг давления с относительно низкими операционными затратами.

Короче говоря, Cl0p использовала единственную уязвимость нулевого дня (CVE-2026-12569), чтобы скомпрометировать около 50 организаций по всему миру, похитить чувствительные проектные и инженерные данные, после чего применила свой стандартный сценарий вымогательства: публикация названий компаний, угрозы утечки данных и требование выкупа.