Cl0p 勒索集團宣稱攻陷近 50 間企業：Shell、Philips 等巨頭中招，PTC Windchill 零日漏洞成最大突破口

• Shell：大約 89 GB 資料。集團話包括能源設施嘅項目圖紙、工業場地相片、測試報告掃描件，以及詳細嘅項目計劃 。
• Philips：大約 13.5 GB 資料。集團話主要係圖表、藍圖同其他技術繪圖 。
• Fiserv 同 GE：呢兩間公司都出現喺 Cl0p 嘅名單上，但集團冇公開佢哋被盜嘅具體數據容量或內容 。

重要提示： 以上所有受害企業名單同數據容量，全部都係 Cl0p 單方面嘅說法，網絡安全研究人員同被點名嘅企業都仲未獨立確認 。

各大企業點樣回應

被點名嘅企業回應程度唔同，全部都處於調查或攔截階段，暫時冇任何一間完全確認 Cl0p 嘅說法。

• Philips：荷蘭醫療科技巨頭 Philips 嘅回應最明確。佢哋確認「識別並攔截咗一次針對內部數據專用企業伺服器嘅網絡攻擊」，並強調事件對客戶冇任何影響 。
• Shell：能源巨頭 Shell 話正調查「可能事故」，並同安全團隊同相關專家合作了解情況 。公司冇確認亦冇否認被入侵。
• Fiserv 同 GE：兩間公司都被 Cl0p 點名，但截至最新報道，佢哋都冇發表詳細公開聲明確認或否認被入侵 。

疑似攻擊途徑：CVE-2026-12569（PTC Windchill）

由 Ransom-ISAC、eCrime.ch 同 DEFUSED 聯合發布嘅安全通告，將呢次大規模攻擊同 CVE-2026-12569 呢個漏洞連結起嚟 。呢個漏洞存在於 PTC Windchill PDMLink 同 PTC FlexPLM 軟件入面 。

CVE-2026-12569 係咩嚟？ 呢個係一個極其嚴重嘅**遠端程式碼執行（RCE）**漏洞，由「未信任資料還原序列化」（deserialization of untrusted data）引發 。佢嘅 CVSS 評分高達 9.8（極度嚴重），影響 Windchill 同 FlexPLM 11.0 M030 版本之前嘅所有版本 。簡單講，黑客唔需要任何帳號密碼，就可以喺暴露於互聯網嘅伺服器上，任意執行惡意程式碼 。美國網絡安全暨基礎設施安全局（CISA）喺 2026 年 6 月 25 號已將呢個漏洞列入「已知被利用漏洞」（KEV）清單 。

攻擊手法： 黑客唔係單獨用 CVE-2026-12569 呢個漏洞。佢哋仲結合咗 FlexPLM WSDL 端點嘅一個預先認證資訊洩露漏洞 。成個攻擊鏈係咁嘅：

1. 先利用資訊洩露漏洞，喺唔使登入嘅情況下收集系統資料。
2. 再用 CVE-2026-12569 漏洞，喺目標伺服器上部署以十六進制命名嘅 JSP 網頁後門（webshell）。
3. 透過 webshell 搜尋、整理然後偷走工程設計資料 。

事件時間線：

• 2026 年 6 月初： 研究人員推測，Cl0p 相關黑客可能喺漏洞仲未出修補程式之前，已經當佢係「零日漏洞」嚟用 。
• 2026 年 6 月 17 號： PTC 公開披露呢個漏洞，並推出安全修補程式 。
• 2026 年 6 月 25 號： 美國 CISA 將 CVE-2026-12569 列入「已知被利用漏洞」清單 。
• 2026 年 7 月 22 號： ReliaQuest 公開報告，觀察到有黑客組織正在利用呢個漏洞 。
• 2026 年 8 月 12 號： Cl0p 喺勒索網站公開近 50 間受害企業名單 。

點解呢次攻擊咁「Cl0p」？

呢次攻擊完全係 Cl0p 嘅標準手法——淨偷 data，唔加密。集團並冇喺目標系統上部署傳統嘅檔案加密勒索軟件，而係集中做呢幾件事 ：

• 純粹偷 data： 目標係偷走敏感嘅工程藍圖、產品設計同製造規格，唔係 lock 住啲檔案 。
• 公開羞辱（Naming and Shaming）： Cl0p 喺公開嘅洩密網站上列出受害企業名同被盜數據容量，威脅唔俾贖金就公開晒啲 data，而唔係封鎖系統等受害者冇得用 。
• 一次過攻擊大量目標（大獵物模式）： Cl0p 最擅長呢種「大獵物狩獵」模式。佢哋專搵企業軟件嘅嚴重漏洞嚟用，今次係 PTC Windchill，之前係 MOVEit Transfer 同 GoAnywhere MFT 。用一個漏洞就可以搞掂幾十間企業，勒索談判嘅籌碼即刻大好多，但成本就相對低。

簡單講，Cl0p 用咗一個零日漏洞（CVE-2026-12569），一次過入侵大約 50 間機構，偷走晒啲敏感設計資料，然後照辦煮碗：公開名單、威脅洩漏、等收錢。