Cl0p โจมตี Shell-Philips กว่า 50 องค์กร ขโมยข้อมูล 89GB ผ่านช่องโหว่ PTC Windchill

• Shell: ประมาณ 89 GB ข้อมูลที่อ้างรวมถึงแบบเขียนโครงการสำหรับโรงงานพลังงาน ภาพถ่ายพื้นที่อุตสาหกรรม สแกนรายงานการทดสอบ และแผนโครงการโดยละเอียด
• Philips: ประมาณ 13.5 GB ข้อมูลส่วนใหญ่เป็นไดอะแกรม แบบแปลน และภาพวาดเทคนิค
• Fiserv และ GE: ถูกลงชื่อไว้ในเว็บไซต์ของ Cl0p แต่ไม่ได้ระบุปริมาณหรือรายละเอียดข้อมูลแยกต่างหากในคำแถลงเริ่มแรก

ข้อควรระวัง: รายชื่อเหยื่อและปริมาณข้อมูลที่อ้างนี้มาจาก Cl0p เอง และยังไม่ได้รับการยืนยันโดยอิสระจากนักวิจัยความปลอดภัยหรือบริษัทที่ถูกอ้างถึง

การตอบสนองของบริษัทยักษ์ใหญ่

บริษัทที่ถูกโจมตีมีการตอบสนองในระดับที่แตกต่างกัน โดยทั้งหมดยังอยู่ในขั้นตอนการสอบสวนหรือควบคุมสถานการณ์ ยังไม่มีบริษัทใดยืนยันขอบเขตการอ้างทั้งหมดของ Cl0p โดยอิสระ

• Philips: มีการตอบสนองที่ชัดเจนที่สุด ยักษ์ใหญ่ด้านเทคโนโลยีสุขภาพจากเนเธอร์แลนด์ยืนยันว่า “ระบุและควบคุมการพยายามเจาะระบบไซเบอร์ในเซิร์ฟเวอร์องค์กรเฉพาะที่เกี่ยวข้องกับข้อมูลภายใน” บริษัทระบุว่าเหตุการณ์นี้ไม่มีผลกระทบต่อลูกค้า
• Shell: ยักษ์ใหญ่ด้านพลังงานของอังกฤษระบุว่ากำลัง สอบสวน “เหตุการณ์ที่อาจเกิดขึ้น” และทำงานร่วมกับทีมรักษาความปลอดภัยและผู้เชี่ยวชาญเพื่อทำความเข้าใจสถานการณ์ บริษัทยังไม่ยืนยันหรือปฏิเสธการถูกเจาะ
• Fiserv และ GE: ทั้งสองบริษัทถูกระบุชื่อโดย Cl0p แต่จากรายงานล่าสุด ยังไม่ออกแถลงการณ์สาธารณะที่ยืนยันหรือปฏิเสธการถูกเจาะ

ช่องโหว่ที่ใช้ในการโจมตี: CVE-2026-12569 (PTC Windchill)

คำแนะนำแบบประสานงาน (Coordinated Advisory) จาก Ransom-ISAC, eCrime.ch และ DEFUSED เชื่อมโยงแคมเปญนี้กับการใช้ประโยชน์จาก CVE-2026-12569 ซึ่งเป็นช่องโหว่ร้ายแรงใน PTC Windchill PDMLink และ PTC FlexPLM

CVE-2026-12569 คืออะไร? เป็นช่องโหว่ Remote Code Execution (RCE) ระดับวิกฤตที่เกิดจาก Deserialization ของข้อมูลที่ไม่น่าเชื่อถือ มีคะแนน CVSS 9.8 (ระดับวิกฤต) ส่งผลกระทบต่อ Windchill และ FlexPLM ที่เป็นเวอร์ชันก่อน 11.0 M030 ช่องโหว่นี้ทำให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนสามารถรันโค้ดบนเซิร์ฟเวอร์ที่เชื่อมต่ออินเทอร์เน็ตที่รันซอฟต์แวร์ที่อ่อนแอได้โดยไม่ต้องใช้เครดิตรับรองความถูกต้อง CISA เพิ่มช่องโหว่นี้ใน Known Exploited Vulnerabilities (KEV) catalog เมื่อ วันที่ 25 มิถุนายน 2026

ห่วงโซ่การโจมตี: ผู้โจมตีไม่ได้ใช้ CVE-2026-12569 เพียงอย่างเดียว พวกเขายังใช้ช่องโหว่ ข้อมูลรั่วไหลก่อนการยืนยันตัวตน (Pre-authentication Information Disclosure) ที่ปลายทาง WSDL ของ FlexPLM รวมกัน ห่วงโซ่นี้ทำให้ผู้โจมตี:

1. รวบรวมรายละเอียดระบบโดยไม่ต้องเข้าสู่ระบบ
2. ใช้ CVE-2026-12569 เพื่อติดตั้ง JSP Webshell ชื่อเลขฐานสิบหก บนเซิร์ฟเวอร์เป้าหมาย
3. ใช้ webshells เพื่อระบุไฟล์, จัดเตรียมข้อมูลวิศวกรรมและออกแบบ และโอนออกจากเครือข่าย

ไทม์ไลน์เหตุการณ์:

• ต้นเดือนมิถุนายน 2026: นักวิจัยประเมินว่าผู้ที่เกี่ยวข้องกับ Cl0p น่าจะใช้ประโยชน์จาก CVE-2026-12569 แบบ Zero-day ก่อนจะมีแพตช์
• 17 มิถุนายน 2026: PTC เปิดเผยช่องโหว่ต่อสาธารณะและปล่อยแพตช์รักษาความปลอดภัย
• 25 มิถุนายน 2026: CISA เพิ่ม CVE-2026-12569 ในรายการ Known Exploited Vulnerabilities
• 22 กรกฎาคม 2026: ReliaQuest รายงานสาธารณะว่าสังเกตเห็นผู้คุกคามกำลังใช้ประโยชน์จากช่องโหว่นี้
• 12 สิงหาคม 2026: Cl0p โพสต์ชื่อบริษัทเหยื่อประมาณ 50 รายบนเว็บไซต์ข่มขู่

รูปแบบการโจมตีสอดคล้องโมเดลของ Cl0p อย่างไร

แคมเปญนี้เป็นตัวอย่างคลาสสิกของโมเดลการโจมตีของ Cl0p—ขโมยข้อมูลโดยไม่ล็อกไฟล์ กลุ่มไม่ได้ติดตั้ง Ransomware ที่ล็อกไฟล์ในระบบเป้าหมาย แต่เน้นที่ :

• ขโมยข้อมูลอย่างเดียว: เป้าหมายคือขโมยแบบวิศวกรรม การออกแบบผลิตภัณฑ์ และข้อกำหนดการผลิตที่ละเอียดอ่อน ไม่ใช่ล็อกไฟล์
• ประจานและข่มขู่: Cl0p กดดันโดยการลงชื่อเหยื่อและปริมาณข้อมูลบนเว็บไซต์公開漏洩 พวกเขาขู่จะเผยแพร่ข้อมูลที่ถูกขโมยหากไม่จ่ายค่าไถ่ แทนที่จะปิดกั้นการเข้าถึงระบบ
• โจมตีจำนวนมากพร้อมกันผ่านซอฟต์แวร์ตัวเดียว: Cl0p ขึ้นชื่อเรื่องวิธีการ “ล่าสัตว์ใหญ่” นี้ พวกเขาใช้ประโยชน์จากช่องโหว่ร้ายแรงในซอฟต์แวร์องค์กรตัวเดียว—ก่อนหน้านี้คือ MOVEit Transfer และ GoAnywhere MFT และตอนนี้คือ PTC Windchill—เพื่อโจมตีเหยื่อจำนวนมากในคราวเดียวด้วยการเจาะเพียงครั้งเดียว วิธีนี้ช่วยให้ leverage ในการข่มขู่สูงสุดด้วยต้นทุนการปฏิบัติการที่ค่อนข้างต่ำ

โดยสรุป Cl0p ใช้ประโยชน์จากช่องโหว่ Zero-day ตัวเดียว (CVE-2026-12569) เพื่อเจาะระบบองค์กรประมาณ 50 แห่งทั่วโลก ขโมยข้อมูลวิศวกรรมและออกแบบที่ละเอียดอ่อน จากนั้นใช้วิธีการข่มขู่มาตรฐาน: เปิดเผยชื่อ ขู่รั่วไหล และเรียกค่าไถ่