Cl0p 勒索组织声称大规模窃取超 50 家公司数据：Shell、Philips 等巨头在列

2026年8月12日，与俄罗斯有联系的勒索软件组织 Cl0p（也被追踪为 FIN11、Graceful Spider 或 Lace Tempest）在其暗网勒索网站上公布了一份包含近 50 家受害公司的名单 。该组织声称，他们从包括 Shell、Philips、Fiserv 和通用电气 (GE) 在内的多家全球顶级公司窃取了海量敏感数据，其中包括工程蓝图、技术图纸和项目计划 。本文将详细解析这次攻击、所使用的零日漏洞以及各家公司的应对措施。

Cl0p 声称窃取了什么？

该组织的说法非常具体，据路透社等多家媒体报道，他们声称此次入侵依赖于单一的软件漏洞，而非多次独立的入侵 。所谓的窃取数据包括：

• Shell： 约 89 GB 数据。Cl0p 声称其中包括能源设施的项目图纸、工业现场照片、测试报告扫描件和详细的项目计划 。
• Philips： 约 13.5 GB 数据。据称被窃材料主要包括图表、蓝图和其他技术图纸 。
• Fiserv 和 GE： 这两家公司被列在 Cl0p 的网站上，但该组织最初的公开声明中并未详细说明具体的数据量或内容 。

重要提示： 受害公司名单和声称的数据量均来自 Cl0p 本身，尚未得到安全研究人员或被点名公司的独立证实 。

各大公司如何回应？

被攻击的公司的回应程度各不相同，目前均处于调查或控制阶段。没有任何一家公司独立证实了 Cl0p 的全部说法。

• Philips： 回应最为明确。这家荷兰健康科技巨头确认其“识别并遏制了一次针对特定企业服务器的网络安全入侵企图”。该公司表示，该事件对客户没有影响 。
• Shell： 这家能源巨头表示正在调查一起“可能的事件”，并正在与安全团队和相关专家合作以了解情况 。该公司既未承认也未否认发生数据泄露。
• Fiserv 和 GE： 这两家公司被 Cl0p 点名，但根据最新报道，它们尚未发布详细的公开声明来确认或否认此次入侵 。

疑似攻击向量：CVE-2026-12569（PTC Windchill）

来自 Ransom-ISAC、eCrime.ch 和 DEFUSED 的 联合安全公告 将此攻击活动与 PTC Windchill PDMLink 和 PTC FlexPLM 软件中漏洞 CVE-2026-12569 的利用联系起来 。

什么是 CVE-2026-12569？ 这是一个由不可信数据反序列化引起的严重远程代码执行 (RCE) 漏洞 。其 CVSS 评分为 9.8（严重），影响 11.0 M030 版本之前的 Windchill 和 FlexPLM 。该漏洞允许未经身份验证的攻击者在运行易受攻击软件的、暴露于互联网的服务器上执行任意代码 。美国网络安全和基础设施安全局 (CISA) 于 2026 年 6 月 25 日 将该漏洞添加至其已知被利用漏洞 (KEV) 目录 。

攻击链： 攻击者并非孤立地使用 CVE-2026-12569。他们将其与 FlexPLM WSDL 端点中的一个预认证信息泄露漏洞结合使用 。这个攻击链允许攻击者：

1. 在未登录的情况下收集系统详细信息。
2. 利用 CVE-2026-12569 在目标服务器上部署十六进制命名的 JSP webshell。
3. 使用这些 webshell 枚举文件、整理工程和设计数据，并将其从网络中窃取 。

事件时间线：

• 2026 年 6 月初： 研究人员评估，与 Cl0p 相关的攻击者可能已在补丁发布之前，将 CVE-2026-12569 作为零日漏洞进行利用 。
• 2026 年 6 月 17 日： PTC 公开披露了该漏洞并发布了安全补丁 。
• 2026 年 6 月 25 日： CISA 将 CVE-2026-12569 添加到其已知被利用漏洞目录 。
• 2026 年 7 月 22 日： ReliaQuest 公开报告观察到威胁行为者正在积极利用该漏洞 。
• 2026 年 8 月 12 日： Cl0p 在其勒索网站上公布了约 50 家受害公司的名称 。

这如何符合 Cl0p 既定的勒索模式？

此次攻击是 Cl0p 操作模式的教科书式案例——数据窃取而不加密。该组织并未在目标系统上部署文件加密型勒索软件。相反，他们的重点是 ：

• 纯粹的数据盗窃： 目标是窃取敏感的工程蓝图、产品设计和制造规范，而不是锁定文件 。
• 点名羞辱： Cl0p 通过在其公开泄露网站上列出受害者名称和数据量来施加压力。他们威胁公开窃取的数据，除非收到赎金，而不是拒绝访问系统 。
• 通过软件供应链进行大规模同步攻击： Cl0p 以其“大猎杀”方法臭名昭著。他们利用单一企业软件产品中的关键漏洞——之前是 MOVEit Transfer 和 GoAnywhere MFT，现在是 PTC Windchill——以一种利用方式同时攻击众多受害者 。这使他们能够以相对较低的操作成本实现最大化的勒索筹码。

简而言之，Cl0p 利用一个单一的零日漏洞（CVE-2026-12569）同时入侵了约 50 家全球性组织，窃取了敏感的设计和工程数据，然后运用其标准的勒索剧本：公开名单、威胁泄露、索要赎金。