Vụ tấn công mạng quy mô lớn của Cl0p: Hàng loạt tập đoàn hàng đầu thế giới bị tống tiền dữ liệu

Ngày 12 tháng 8 năm 2026, nhóm ransomware khét tiếng có liên hệ với Nga, Cl0p (còn được biết đến với các tên FIN11, Graceful Spider hay Lace Tempest), đã đăng tải một danh sách gồm gần 50 công ty lên trang web tống tiền trên dark web của mình . Nhóm này tuyên bố đã đánh cắp một khối lượng lớn dữ liệu doanh nghiệp nhạy cảm, bao gồm bản thiết kế kỹ thuật, bản vẽ và kế hoạch dự án, từ một số tập đoàn lớn nhất thế giới như Shell, Philips, Fiserv và General Electric (GE) . Bài viết này sẽ phân tích chi tiết về cuộc tấn công, lỗ hổng zero-day đã được sử dụng và phản ứng của từng công ty.

Cl0p đã tuyên bố điều gì?

Những tuyên bố của nhóm này, được các hãng tin như Reuters đưa tin rộng rãi, rất cụ thể và chi tiết. Chúng khẳng định vụ vi phạm chỉ dựa vào một lỗ hổng phần mềm duy nhất chứ không phải nhiều cuộc xâm nhập riêng lẻ . Dữ liệu bị đánh cắp được cho là bao gồm:

• Shell: Khoảng 89 GB dữ liệu. Cl0p tuyên bố số dữ liệu này bao gồm các bản vẽ dự án cho các cơ sở năng lượng, hình ảnh chụp các địa điểm công nghiệp, bản quét các báo cáo thử nghiệm và kế hoạch dự án chi tiết .
• Philips: Khoảng 13,5 GB dữ liệu. Vật liệu bị đánh cắp được cho là chủ yếu bao gồm các sơ đồ, bản thiết kế và các bản vẽ kỹ thuật khác .
• Fiserv và GE: Hai công ty này cũng có tên trong danh sách của Cl0p, mặc dù khối lượng hoặc nội dung dữ liệu cụ thể không được nhóm này tiết lộ riêng rẽ trong các tuyên bố ban đầu .

Lưu ý quan trọng: Danh sách nạn nhân và khối lượng dữ liệu được tuyên bố đều đến từ chính Cl0p và chưa được xác minh độc lập bởi các nhà nghiên cứu bảo mật hay các công ty bị nêu tên .

Phản ứng của các tập đoàn lớn

Các công ty bị nhắm mục tiêu đã có những phản ứng với các mức độ xác nhận và chi tiết khác nhau, nhưng tất cả đều đang trong giai đoạn điều tra hoặc ngăn chặn. Chưa có công ty nào xác nhận độc lập toàn bộ phạm vi của các tuyên bố từ Cl0p.

• Philips: Phản ứng rõ ràng nhất đến từ gã khổng lồ công nghệ y tế Hà Lan. Philips xác nhận đã "xác định và ngăn chặn một âm mưu xâm phạm an ninh mạng nhằm vào một máy chủ doanh nghiệp cụ thể có liên quan đến dữ liệu nội bộ." Công ty tuyên bố rằng sự cố không ảnh hưởng đến khách hàng .
• Shell: Gã khổng lồ năng lượng cho biết họ đang điều tra một 'sự cố có thể xảy ra' và đang làm việc với các nhóm bảo mật cũng như các chuyên gia liên quan để tìm hiểu tình hình . Công ty chưa xác nhận cũng như phủ nhận việc bị tấn công.
• Fiserv và GE: Cả hai công ty đều bị Cl0p nêu tên, nhưng tính đến thời điểm các báo cáo mới nhất, họ vẫn chưa đưa ra tuyên bố công khai chi tiết nào xác nhận hay phủ nhận vụ việc .

Phương thức tấn công bị nghi ngờ: CVE-2026-12569 (PTC Windchill)

Một cảnh báo phối hợp từ Ransom-ISAC, eCrime.ch và DEFUSED đã liên kết chiến dịch này với việc khai thác CVE-2026-12569, một lỗ hổng nghiêm trọng trong PTC Windchill PDMLink và PTC FlexPLM .

CVE-2026-12569 là gì? Đây là một lỗ hổng thực thi mã từ xa (RCE) nghiêm trọng do việc giải tuần tự hóa dữ liệu không đáng tin cậy . Lỗ hổng này có điểm CVSS là 9.8 (Nghiêm trọng) và ảnh hưởng đến các phiên bản Windchill và FlexPLM trước 11.0 M030 . Lỗ hổng cho phép kẻ tấn công chưa được xác thực thực thi mã tùy ý trên máy chủ đang chạy phần mềm dễ bị tấn công mà không cần thông tin đăng nhập hợp lệ . CISA đã thêm lỗ hổng này vào danh mục Lỗ hổng đã biết bị khai thác (KEV) vào ngày 25 tháng 6 năm 2026 .

Chuỗi khai thác: Các cuộc tấn công không chỉ sử dụng riêng CVE-2026-12569. Chúng được kết hợp với một lỗ hổng tiết lộ thông tin trước xác thực trong endpoint WSDL của FlexPLM . Chuỗi này cho phép kẻ tấn công:

1. Thu thập thông tin chi tiết về hệ thống mà không cần đăng nhập.
2. Khai thác CVE-2026-12569 để triển khai các webshell JSP có tên hex trên các máy chủ mục tiêu.
3. Sử dụng các webshell này để liệt kê tệp tin, chuẩn bị dữ liệu kỹ thuật và thiết kế, sau đó đánh cắp chúng khỏi mạng .

Dòng thời gian của các sự kiện:

• Đầu tháng 6 năm 2026: Các nhà nghiên cứu đánh giá rằng các tác nhân liên quan đến Cl0p có khả năng đã khai thác CVE-2026-12569 như một lỗ hổng zero-day, trước khi có bản vá .
• 17 tháng 6 năm 2026: PTC công khai tiết lộ lỗ hổng và phát hành bản vá bảo mật .
• 25 tháng 6 năm 2026: CISA thêm CVE-2026-12569 vào danh mục Lỗ hổng đã biết bị khai thác .
• 22 tháng 7 năm 2026: ReliaQuest công bố các quan sát về việc các tác nhân đe dọa đang tích cực khai thác lỗ hổng này .
• 12 tháng 8 năm 2026: Cl0p đăng tải tên của gần 50 công ty nạn nhân lên trang web tống tiền .

Chiến dịch này phù hợp như thế nào với mô hình tống tiền đã được thiết lập của Cl0p

Chiến dịch này là một ví dụ điển hình về mô hình hoạt động của Cl0p—đánh cắp dữ liệu mà không mã hóa. Nhóm này đã không triển khai ransomware mã hóa tệp tin trên các hệ thống mục tiêu. Thay vào đó, chúng tập trung vào :

• Đánh cắp dữ liệu thuần túy: Mục tiêu là đánh cắp các bản thiết kế kỹ thuật nhạy cảm, thiết kế sản phẩm và thông số kỹ thuật sản xuất, chứ không phải khóa tệp tin .
• Bêu tên và làm xấu hổ: Cl0p gây áp lực bằng cách liệt kê tên nạn nhân và khối lượng dữ liệu trên trang web rò rỉ công khai của chúng. Chúng đe dọa sẽ công bố dữ liệu bị đánh cắp nếu không được trả tiền, thay vì từ chối quyền truy cập vào hệ thống .
• Nhắm mục tiêu hàng loạt, đồng thời thông qua một chuỗi cung ứng phần mềm duy nhất: Cl0p nổi tiếng với cách tiếp cận 'săn mồi lớn' này. Chúng khai thác một lỗ hổng nghiêm trọng trong một sản phẩm phần mềm doanh nghiệp duy nhất—trước đây là MOVEit Transfer và GoAnywhere MFT, và bây giờ là PTC Windchill—để xâm phạm nhiều nạn nhân cùng một lúc chỉ với một lần khai thác . Điều này cho phép tối đa hóa đòn bẩy tống tiền với chi phí vận hành tương đối thấp.

Tóm lại, Cl0p đã vũ khí hóa một lỗ hổng zero-day (CVE-2026-12569) để xâm phạm ~50 tổ chức trên toàn cầu, đánh cắp dữ liệu thiết kế và kỹ thuật nhạy cảm, sau đó áp dụng kịch bản tống tiền tiêu chuẩn của chúng: công bố tên tuổi, đe dọa rò rỉ và yêu cầu tiền chuộc.