Das Energieunternehmen Shell untersucht einen möglichen Cybersicherheitsvorfall, nachdem die Clop-Ransomware-Gruppe behauptet hat, 89 GB Firmendaten gestohlen zu haben. Der angebliche Vorstoß erfolgt im Rahmen einer umfassenderen Clop-Kampagne, die sich gegen Organisationen richtet, die internetzugängliche PTC, Windchill- und FlexPLM-Systeme betreiben.
Shell räumte die Situation ein, nachdem Clop das Unternehmen zu seiner Dark-Web-Leak-Seite hinzugefügt hatte. Ein Sprecher des Unternehmens sagte, Shell sei über einen möglichen Vorfall informiert und habe seine Sicherheitsteams sowie relevante Spezialisten zur Untersuchung hinzugezogen. Shell hat bisher nicht bestätigt, dass die Angreifer die von Clop beschriebenen Dateien erhalten haben.
Laut den Behauptungen der Cyberkriminellengruppe umfasst das gestohlene Material technische Zeichnungen, Fotografien der Anlage, Projektpläne und gescannte Berichte im Zusammenhang mit Anlagentests. Diese Details bleiben weiterhin Vorwürfe von Clop, während die Shell-Ermittlungen andauern, und das Unternehmen hat öffentlich weder das Volumen noch den Inhalt kompromittierter Informationen bestätigt.
Der Zeitpunkt verbindet Shells Auftritt auf Clops Leak-Seite mit einer viel umfassenderen Reihe von Angriffen. Shell war eine von 43 neu börsennotierten Organisationen, von denen angenommen wurde, dass sie durch offengelegte Instanzen der PTC-Software Windchill und FlexPLM zum Produktlebenszyklusmanagement ins Visier genommen wurden. Clop hat außerdem den Datendiebstahl von General Electric und Philips im Rahmen derselben Aktivität geltend gemacht.
Die Angriffe sind mit CVE-2026-12569 in Verbindung gebracht, einer kritischen Schwachstelle, die PTC Windchill und FlexPLM betrifft. PTC sagt, dass die Sicherheitslücke es einem unbefugten Angreifer ermöglichen kann, Code aus der Ferne auszuführen. Das Unternehmen begann im Juni mit der Bereitstellung von Sanierungshinweisen und veröffentlichte anschließend Sicherheitspatches, die betroffene Versionen beider Plattformen abdecken.
PTC dokumentierte außerdem Hinweise darauf, dass Angreifer persistente JSP-Webshells in Windchills Login-Verzeichnis einsetzten. Solche Webshells können die Fernausführung von Befehlen ermöglichen und die Datenexfiltration von kompromittierten Servern erleichtern. Ende Juni warnte PTC die Kunden vor anhaltender “erhöhter Bedrohungsaktivität” und forderte sofortige Sanierungen.
Windchill und FlexPLM werden verwendet, um Informationen während des gesamten Produktlebenszyklus zu verwalten, wodurch kompromittierte Installationen potenziell wertvolle Quellen für Unternehmens- und Ingenieurinformationen darstellen. Dies entspricht den Materialarten, die Clop angeblich von Shell erhalten hat, einschließlich Zeichnungen und Projektdokumentation, obwohl Shell nicht bestätigt hat, dass CVE-2026-12569 der Zugang zu seinen Systemen war.
PTC hat seine Sicherheitsrichtlinien weiterhin aktualisiert, da weitere Anzeichen für Kompromittierungen aufgetreten sind. Der Anbieter rät Kunden, verfügbare Patches sofort anzuwenden, ihre Umgebung auf bekannte Hinweise zu überprüfen und unnötige Internet-Exposition durch Windchill-Login-Schnittstellen zu begrenzen.
Clops jüngste Aktivität scheint sich stark auf Informationsdiebstahl zu konzentrieren, anstatt zwangsläufig Unternehmenssysteme zu verschlüsseln. In der Windchill- und FlexPLM-Kampagne können kompromittierte Produktmanagement-Server Projekte, technische Zeichnungen, Diagramme, Backups und andere interne Dateien enthalten, die anschließend für Erpressung verwendet werden können.
Speziell für Shell bleiben die bestätigten Informationen begrenzt. Das Unternehmen hat eingeräumt, dass es einen möglichen Sicherheitsvorfall untersucht, während die Behauptung, dass 89 GB technischer und projektbezogener Informationen gestohlen wurden, derzeit von Clop stammt. Shell hat die Menge der betroffenen Daten, die spezifischen betroffenen Systeme oder ob die PTC-Schwachstelle für die potenzielle Kompromittierung verantwortlich war, nicht öffentlich bestätigt.