Cl0p 勒索集團宣稱竊取 Shell、Philips 等 50 多家企業巨量資料：完整解析 PTC Windchill 攻擊事件

• Shell (殼牌)： 約 89 GB 的資料。Cl0p 聲稱這些資料包含能源設施的專案圖紙、工業現場照片、測試報告掃描檔以及詳細的專案計畫 。
• Philips (飛利浦)： 約 13.5 GB 的資料。據稱被竊取的資料主要是圖表、藍圖和其他技術圖紙 。
• Fiserv 和 GE： 這些公司也被列在 Cl0p 的網站上，但該組織在最初的公開聲明中並未詳細說明被竊取的資料量或內容 。

重要提醒： 上述受害者名單和資料量均來自 Cl0p 組織單方面的說法，尚未經網路安全研究人員或被點名的公司獨立證實 。

主要企業如何回應

遭到點名的企業對此事做出了不同程度的確認和說明，目前皆處於調查或控制階段。沒有任何一家公司獨立證實了 Cl0p 的全部說法。

• Philips (飛利浦)： 這家荷蘭醫療科技巨頭的回應最為明確。Philips 證實已「識別並阻止了一次針對特定內部資料企業伺服器的網路安全入侵企圖」。該公司強調，此事件對客戶沒有任何影響 。
• Shell (殼牌)： 這家能源巨頭表示正在調查「一起可能的事件」，並正與安全團隊及相關專家合作以了解狀況 。Shell 既未證實也未否認發生資料外洩。
• Fiserv 和 GE： 這兩家公司被 Cl0p 點名，但截至最新報導，它們尚未發布詳細的公開聲明來確認或否認此入侵事件 。

可疑的攻擊媒介：CVE-2026-12569 (PTC Windchill)

一份由 Ransom-ISAC、eCrime.ch 和 DEFUSED 聯合發布的公告將此次攻擊行動與利用 PTC Windchill PDMLink 和 PTC FlexPLM 中的 CVE-2026-12569 漏洞聯繫起來 。

什麼是 CVE-2026-12569？ 這是一個由「不可信資料的反序列化」問題導致的重大遠端程式碼執行 (RCE) 漏洞 。其 CVSS 評分高達 9.8（重大），影響 11.0 M030 版本之前的 Windchill 和 FlexPLM 。該漏洞允許未經身分驗證的攻擊者在暴露於網際網路且運行弱點軟體的伺服器上執行任意程式碼 。美國網路安全暨基礎設施安全局 (CISA) 已於 2026 年 6 月 25 日 將此漏洞加入其「已知遭利用弱漏洞目錄 (KEV)」。

攻擊鏈： 攻擊者並非單獨利用 CVE-2026-12569。他們將其與 FlexPLM WSDL 端點中的一個「預先驗證資訊洩漏」漏洞結合使用 。此攻擊鏈允許攻擊者：

1. 無需登入即可收集系統詳細資訊。
2. 利用 CVE-2026-12569 在目標伺服器上部署十六進位命名的 JSP 網站後門。
3. 利用這些後門列舉檔案，整理工程與設計資料，並將其從網路中竊取出去 。

事件時間軸：

• 2026 年 6 月初： 研究人員評估，與 Cl0p 有關聯的行為者很可能在修補程式發布前，就將 CVE-2026-12569 作為零時差漏洞進行利用 。
• 2026 年 6 月 17 日： PTC 公開揭露此漏洞並發布安全修補程式 。
• 2026 年 6 月 25 日： CISA 將 CVE-2026-12569 加入其「已知遭利用弱漏洞目錄」。
• 2026 年 7 月 22 日： ReliaQuest 公開報告觀察到威脅行為者正在積極利用此漏洞 。
• 2026 年 8 月 12 日： Cl0p 將約 50 家受害公司名稱張貼在其勒贖網站上 。

這如何符合 Cl0p 已知的勒索模式

此次行動是 Cl0p 操作模式的教科書範例——僅進行資料竊取，不進行加密。該集團並未在目標系統上部署檔案加密勒索軟體，而是專注於 ：

• 純資料竊取： 目標是竊取敏感的工程藍圖、產品設計和製造規格，而非鎖定檔案 。
• 公開點名與羞辱： Cl0p 透過在其公開洩密網站上列出受害者名稱和資料量來施加壓力。他們威脅要公開被竊取的資料，除非支付贖金，而不是拒絕企業存取其系統 。
• 透過軟體供應鏈進行大規模、同步打擊： Cl0p 以其「大獵物狩獵」手法而聞名。他們利用單一企業軟體產品中的重大漏洞——例如先前的 MOVEit Transfer、GoAnywhere MFT，以及現在的 PTC Windchill——透過一次攻擊就能同時入侵多家受害者 。這使得他們能夠以相對較低的營運成本，獲得最大的勒索籌碼。

簡而言之，Cl0p 利用一個零時差漏洞 (CVE-2026-12569) 同時入侵全球約 50 家組織，竊取敏感的設計與工程資料，然後套用其標準的勒索劇本：公布名稱、威脅洩露、要求付款。