Cl0p Ne İddia Ediyor?

Grubun, Reuters gibi yayın organları tarafından geniş çapta bildirilen iddiaları oldukça spesifik ve detaylı. Cl0p, ihlalin tek bir yazılım açığından kaynaklandığını ve birden fazla ayrı saldırı olmadığını öne sürüyor . İddia edilen veri miktarları şöyle:

• Shell: Yaklaşık 89 GB veri. Cl0p, bu verilerin enerji tesislerine ait proje çizimleri, endüstriyel sahaların fotoğrafları, test raporlarının taramaları ve detaylı proje planlarını içerdiğini iddia ediyor .
• Philips: Yaklaşık 13.5 GB veri. Çalınan malzemenin çoğunlukla diyagramlar, teknik çizimler ve diğer planlardan oluştuğu belirtiliyor .
• Fiserv ve GE: Bu şirketler Cl0p'un sitesinde listelendi, ancak grupla ilgili ilk açıklamalarda belirli veri hacimleri veya içerikler ayrıntılı olarak belirtilmedi .

Önemli Uyarı: Mağdur listesi ve iddia edilen veri hacimleri tamamen Cl0p'un kendi açıklamalarına dayanmaktadır ve güvenlik araştırmacıları veya adı geçen şirketler tarafından bağımsız olarak doğrulanmamıştır .

Büyük Şirketler Nasıl Yanıt Verdi?

Hedef alınan şirketler, farklı düzeylerde doğrulama ve detayla yanıt verirken, tümü soruşturma veya kontrol altına alma aşamasında. Hiçbiri Cl0p'un iddialarının tam kapsamını bağımsız olarak doğrulamadı.

• Philips: En net yanıt Hollandalı sağlık teknolojisi devinden geldi. Philips, "iç verilerle ilgili belirli bir kurumsal sunucuda tespit edilen ve kontrol altına alınan bir siber güvenlik ihlali girişimini" doğruladı. Şirket, olayın müşterileri etkilemediğini belirtti .
• Shell: Enerji devi, "olası bir olayı" soruşturduğunu ve durumu anlamak için güvenlik ekipleri ve ilgili uzmanlarla çalıştığını açıkladı . Şirket, bir ihlali ne doğruladı ne de yalanladı.
• Fiserv ve GE: Her iki şirket de Cl0p tarafından hedef olarak gösterildi, ancak son raporlara göre, ihlali doğrulayan veya yalanlayan detaylı kamuoyu açıklamaları yapmadılar .

Şüphelenilen Saldırı Vektörü: CVE-2026-12569 (PTC Windchill)

Ransom-ISAC, eCrime.ch ve DEFUSED tarafından yapılan koordineli bir uyarı, bu kampanyayı PTC Windchill PDMLink ve PTC FlexPLM ürünlerindeki CVE-2026-12569 açığının kullanılmasına bağladı .

CVE-2026-12569 Nedir? Bu kritik bir uzaktan kod çalıştırma (RCE) açığıdır ve güvenilmeyen verilerin serileştirilmesinden kaynaklanır . CVSS puanı 9.8 (Kritik) olan bu açık, Windchill ve FlexPLM'nin 11.0 M030 sürümünden önceki sürümlerini etkilemektedir . Güvenlik açığı, kimliği doğrulanmamış bir saldırganın, geçerli kimlik bilgileri olmadan internete açık bir sunucuda keyfi kod çalıştırmasına olanak tanır . CISA, bu güvenlik açığını 25 Haziran 2026'da Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna eklemiştir .

Saldırı Zinciri: Saldırganlar CVE-2026-12569'u tek başına kullanmadı. FlexPLM WSDL uç noktasındaki bir kimlik doğrulama öncesi bilgi ifşası açığıyla birleştirdiler . Bu zincirleme saldırıyla:

1. Giriş yapmadan sistem detaylarını topladılar.
2. CVE-2026-12569'u kullanarak hedef sunuculara onaltılık adlandırılmış JSP web kabukları yerleştirdiler.
3. Bu kabukları kullanarak dosyaları taradılar, mühendislik ve tasarım verilerini hazırlayıp ağ dışına sızdırdılar .

Zaman Çizelgesi:

• Haziran 2026 Başı: Araştırmacılar, Cl0p bağlantılı aktörlerin CVE-2026-12569'u yama yayınlanmadan önce, sıfırıncı gün açığı olarak kullanmış olabileceğini değerlendiriyor .
• 17 Haziran 2026: PTC, güvenlik açığını kamuya duyurdu ve güvenlik yamasını yayınladı .
• 25 Haziran 2026: CISA, CVE-2026-12569'u Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi .
• 22 Temmuz 2026: ReliaQuest, tehdit aktörlerinin açığı aktif olarak istismar ettiğine dair gözlemlerini kamuoyuna bildirdi .
• 12 Ağustos 2026: Cl0p, şantaj sitesinde yaklaşık 50 mağdur şirketin ismini yayınladı .

Bu Saldırı Cl0p'un Bilinen Şantaj Modeline Nasıl Uyuyor?

Bu kampanya, Cl0p'un işletim modelinin metin kitabı örneğidir: Şifreleme olmadan veri sızdırma. Grup, hedef sistemlere dosya şifreleyen fidye yazılımı dağıtmadı. Bunun yerine :

• Saf Veri Hırsızlığı: Amaç, dosyaları kilitlemek değil, hassas mühendislik planlarını, ürün tasarımlarını ve üretim şartnamelerini çalmaktı .
• İsim ve Ayıp (Naming and Shaming): Cl0p, mağdurun isimlerini ve veri hacimlerini herkese açık sızıntı sitesinde yayınlayarak baskı kuruyor. Sisteme erişimi engellemek yerine, ödeme yapılmazsa verileri yayınlamakla tehdit ediyor .
• Tek Bir Yazılım Tedarik Zinciri Açığıyla Kitlesel Hedefleme: Cl0p bu "büyük oyun avlama" yaklaşımıyla ünlüdür. Daha önce MOVEit Transfer ve GoAnywhere MFT gibi yazılımlarda olduğu gibi, şimdi de PTC Windchill'deki kritik bir açığı kullanarak aynı yöntemle çok sayıda kurbanı aynı anda ele geçirdi . Bu, düşük operasyonel maliyetle maksimum şantaj kaldıracı sağlıyor.

Kısacası Cl0p, tek bir sıfırıncı gün açığını (CVE-2026-12569) silah haline getirerek dünya çapında ~50 kuruluşu ele geçirdi, hassas tasarım ve mühendislik verilerini çaldı ve ardından standart şantaj oyun kitabını uyguladı: isimleri yayınla, sızıntıyla tehdit et, ödeme talep et.

Cl0p Ne İddia Ediyor?

Grubun, Reuters gibi yayın organları tarafından geniş çapta bildirilen iddiaları oldukça spesifik ve detaylı. Cl0p, ihlalin tek bir yazılım açığından kaynaklandığını ve birden fazla ayrı saldırı olmadığını öne sürüyor . İddia edilen veri miktarları şöyle:

• Shell: Yaklaşık 89 GB veri. Cl0p, bu verilerin enerji tesislerine ait proje çizimleri, endüstriyel sahaların fotoğrafları, test raporlarının taramaları ve detaylı proje planlarını içerdiğini iddia ediyor .
• Philips: Yaklaşık 13.5 GB veri. Çalınan malzemenin çoğunlukla diyagramlar, teknik çizimler ve diğer planlardan oluştuğu belirtiliyor .
• Fiserv ve GE: Bu şirketler Cl0p'un sitesinde listelendi, ancak grupla ilgili ilk açıklamalarda belirli veri hacimleri veya içerikler ayrıntılı olarak belirtilmedi .

Önemli Uyarı: Mağdur listesi ve iddia edilen veri hacimleri tamamen Cl0p'un kendi açıklamalarına dayanmaktadır ve güvenlik araştırmacıları veya adı geçen şirketler tarafından bağımsız olarak doğrulanmamıştır .

Büyük Şirketler Nasıl Yanıt Verdi?

Hedef alınan şirketler, farklı düzeylerde doğrulama ve detayla yanıt verirken, tümü soruşturma veya kontrol altına alma aşamasında. Hiçbiri Cl0p'un iddialarının tam kapsamını bağımsız olarak doğrulamadı.

• Philips: En net yanıt Hollandalı sağlık teknolojisi devinden geldi. Philips, "iç verilerle ilgili belirli bir kurumsal sunucuda tespit edilen ve kontrol altına alınan bir siber güvenlik ihlali girişimini" doğruladı. Şirket, olayın müşterileri etkilemediğini belirtti .
• Shell: Enerji devi, "olası bir olayı" soruşturduğunu ve durumu anlamak için güvenlik ekipleri ve ilgili uzmanlarla çalıştığını açıkladı . Şirket, bir ihlali ne doğruladı ne de yalanladı.
• Fiserv ve GE: Her iki şirket de Cl0p tarafından hedef olarak gösterildi, ancak son raporlara göre, ihlali doğrulayan veya yalanlayan detaylı kamuoyu açıklamaları yapmadılar .

Şüphelenilen Saldırı Vektörü: CVE-2026-12569 (PTC Windchill)

Ransom-ISAC, eCrime.ch ve DEFUSED tarafından yapılan koordineli bir uyarı, bu kampanyayı PTC Windchill PDMLink ve PTC FlexPLM ürünlerindeki CVE-2026-12569 açığının kullanılmasına bağladı .

CVE-2026-12569 Nedir? Bu kritik bir uzaktan kod çalıştırma (RCE) açığıdır ve güvenilmeyen verilerin serileştirilmesinden kaynaklanır . CVSS puanı 9.8 (Kritik) olan bu açık, Windchill ve FlexPLM'nin 11.0 M030 sürümünden önceki sürümlerini etkilemektedir . Güvenlik açığı, kimliği doğrulanmamış bir saldırganın, geçerli kimlik bilgileri olmadan internete açık bir sunucuda keyfi kod çalıştırmasına olanak tanır . CISA, bu güvenlik açığını 25 Haziran 2026'da Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna eklemiştir .

Saldırı Zinciri: Saldırganlar CVE-2026-12569'u tek başına kullanmadı. FlexPLM WSDL uç noktasındaki bir kimlik doğrulama öncesi bilgi ifşası açığıyla birleştirdiler . Bu zincirleme saldırıyla:

1. Giriş yapmadan sistem detaylarını topladılar.
2. CVE-2026-12569'u kullanarak hedef sunuculara onaltılık adlandırılmış JSP web kabukları yerleştirdiler.
3. Bu kabukları kullanarak dosyaları taradılar, mühendislik ve tasarım verilerini hazırlayıp ağ dışına sızdırdılar .

Zaman Çizelgesi:

• Haziran 2026 Başı: Araştırmacılar, Cl0p bağlantılı aktörlerin CVE-2026-12569'u yama yayınlanmadan önce, sıfırıncı gün açığı olarak kullanmış olabileceğini değerlendiriyor .
• 17 Haziran 2026: PTC, güvenlik açığını kamuya duyurdu ve güvenlik yamasını yayınladı .
• 25 Haziran 2026: CISA, CVE-2026-12569'u Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi .
• 22 Temmuz 2026: ReliaQuest, tehdit aktörlerinin açığı aktif olarak istismar ettiğine dair gözlemlerini kamuoyuna bildirdi .
• 12 Ağustos 2026: Cl0p, şantaj sitesinde yaklaşık 50 mağdur şirketin ismini yayınladı .

Bu Saldırı Cl0p'un Bilinen Şantaj Modeline Nasıl Uyuyor?

Bu kampanya, Cl0p'un işletim modelinin metin kitabı örneğidir: Şifreleme olmadan veri sızdırma. Grup, hedef sistemlere dosya şifreleyen fidye yazılımı dağıtmadı. Bunun yerine :

• Saf Veri Hırsızlığı: Amaç, dosyaları kilitlemek değil, hassas mühendislik planlarını, ürün tasarımlarını ve üretim şartnamelerini çalmaktı .
• İsim ve Ayıp (Naming and Shaming): Cl0p, mağdurun isimlerini ve veri hacimlerini herkese açık sızıntı sitesinde yayınlayarak baskı kuruyor. Sisteme erişimi engellemek yerine, ödeme yapılmazsa verileri yayınlamakla tehdit ediyor .
• Tek Bir Yazılım Tedarik Zinciri Açığıyla Kitlesel Hedefleme: Cl0p bu "büyük oyun avlama" yaklaşımıyla ünlüdür. Daha önce MOVEit Transfer ve GoAnywhere MFT gibi yazılımlarda olduğu gibi, şimdi de PTC Windchill'deki kritik bir açığı kullanarak aynı yöntemle çok sayıda kurbanı aynı anda ele geçirdi . Bu, düşük operasyonel maliyetle maksimum şantaj kaldıracı sağlıyor.

Kısacası Cl0p, tek bir sıfırıncı gün açığını (CVE-2026-12569) silah haline getirerek dünya çapında ~50 kuruluşu ele geçirdi, hassas tasarım ve mühendislik verilerini çaldı ve ardından standart şantaj oyun kitabını uyguladı: isimleri yayınla, sızıntıyla tehdit et, ödeme talep et.