Cl0p-gruppen hävdar massivt datastöld från 50+ företag – fullständig genomgång av PTC Windchill-attacken

Den 12 augusti 2026 publicerade den ryska ransomwaregruppen Cl0p (även känd som FIN11, Graceful Spider eller Lace Tempest) en lista med nästan 50 företag på sin utpressningssida på darknet . Gruppen hävdade att de stulit stora mängder känslig företagsdata, inklusive tekniska ritningar, konstruktionsdokument och projektplaner, från några av världens största företag – däribland Shell, Philips, Fiserv och General Electric (GE) . Den här artikeln bryter ner attacken, zerosårbarheten som användes och hur företagen har reagerat.

Vad Cl0p hävdade

Gruppens påståenden, som spridits av flera medier inklusive Reuters, är detaljerade. De uppger att intrånget skedde via en enda programvarusårbarhet, inte genom flera separata attacker . Den påstådda datamängden inkluderar:

• Shell: Cirka 89 GB data. Cl0p hävdar att detta inkluderar projektritningar för energianläggningar, fotografier av industriområden, skanningar av testrapporter och detaljerade projektplaner .
• Philips: Cirka 13,5 GB data. Det stulna materialet uppges huvudsakligen bestå av diagram, ritningar och andra tekniska dokument .
• Fiserv och GE: Dessa företag fanns med på Cl0p:s lista, men specifika datamängder eller innehåll har inte redovisats separat i gruppens initiala uttalanden .

Viktig anmärkning: Listan över offer och de påstådda datavolymerna kommer från Cl0p själva och har inte oberoende verifierats av säkerhetsforskare eller de namngivna företagen .

Hur företagen svarade

De drabbade företagen har reagerat med varierande grad av bekräftelse och detaljer, alla befinner sig i ett utrednings- och begränsningsskede. Inget företag har oberoende bekräftat hela omfattningen av Cl0p:s påståenden.

• Philips: Det mest definitiva svaret kom från den nederländska hälsoteknikjätten. Philips bekräftade att de ”identifierade och begränsade ett försök till cybersäkerhetsintrång på en specifik företagsserver som rör interna data.” Företaget uppgav att incidenten inte påverkat några kunder .
• Shell: Energijätten uppger att de utreder en möjlig incident och arbetar tillsammans med säkerhetsteam och relevanta experter för att förstå situationen . Företaget har varken bekräftat eller förnekat ett intrång.
• Fiserv och GE: Båda företagen namngavs av Cl0p, men har i skrivande stund inte utfärdat några detaljerade offentliga uttalanden som bekräftar eller förnekar intrånget .

Den misstänkta attackvektorn: CVE-2026-12569 (PTC Windchill)

En samordnad rapport från Ransom-ISAC, eCrime.ch och DEFUSED kopplade denna kampanj till exploatering av CVE-2026-12569, en kritisk sårbarhet i PTC Windchill PDMLink och PTC FlexPLM .

Vad är CVE-2026-12569? Det är en kritisk osäker deserialiserings-sårbarhet (RCE) som tillåter exekvering av godtycklig kod. Den har ett CVSS-poäng på 9,8 (Critical) och påverkar Windchill- och FlexPLM-versioner före 11.0 M030 . Sårbarheten gör att en oautentiserad angripare kan utföra kod på en internetansluten server som kör den sårbara programvaran utan giltiga inloggningsuppgifter . CISA lade till sårbarheten i sin katalog över kända exploaterade sårbarheter (KEV) den 25 juni 2026 .

Exploateringskedjan: Attackerna använde inte CVE-2026-12569 isolerat. De kombinerade den med en för-autentiserings-informationsläcka i FlexPLM:s WSDL-gränssnitt . Denna kedja gjorde det möjligt för angripare att:

1. Samla in systemdetaljer utan att logga in.
2. Utnyttja CVE-2026-12569 för att deploya hex-namngivna JSP-webshells på riktade servrar.
3. Använda webshells för att kartlägga filer, samla ihop tekniska data och konstruktionsritningar och sedan stjäla dem från nätverket .

Tidslinje:

• Början av juni 2026: Forskare bedömer att Cl0p-anslutna aktörer sannolikt utnyttjade CVE-2026-12569 som en zerosårbarhet, innan en patch fanns tillgänglig .
• 17 juni 2026: PTC offentliggjorde sårbarheten och släppte en säkerhetsuppdatering .
• 25 juni 2026: CISA lade till CVE-2026-12569 i sin katalog över kända exploaterade sårbarheter .
• 22 juli 2026: ReliaQuest rapporterade observationer av hotaktörer som aktivt utnyttjar sårbarheten .
• 12 augusti 2026: Cl0p publicerar namnen på cirka 50 offerföretag på sin utpressningssida .

Hur detta passar Cl0p:s etablerade utpressningsmodell

Denna kampanj är ett typexempel på Cl0p:s operativa modell – datastöld utan kryptering. Gruppen använde inte filkrypterande ransomware på de riktade systemen. Istället fokuserade de på :

• Ren datastöld: Målet var att stjäla känsliga konstruktionsritningar, produktdesigner och tillverkningsspecifikationer, inte att låsa filer .
• Namnge och skämma ut: Cl0p utövar påtryckningar genom att lista offer och datavolymer på sin offentliga läcksajt. De hotar med att publicera den stulna datan om de inte får betalt, snarare än att neka åtkomst till system .
• Massiv, samtidig målsökning via en programvaruleverantör: Cl0p är ökända för detta ”big-game hunting”-angreppssätt. De utnyttjar en kritisk sårbarhet i en enda företagsprogramvara – tidigare MOVEit Transfer och GoAnywhere MFT, och nu PTC Windchill – för att kompromettera många offer samtidigt med en enda exploit . Detta ger maximal utpressningshävstång med relativt låg operativ overhead.

Sammanfattningsvis beväpnade Cl0p en enda zerosårbarhet (CVE-2026-12569) för att kompromettera cirka 50 organisationer globalt, stal känslig konstruktions- och designdata och tillämpade sedan sin standardutpressningsstrategi: publicera namn, hota med läckor och kräva betalning.