La société énergétique Shell enquête sur un possible incident de cybersécurité après que le groupe de ransomware Clop a affirmé avoir volé 89 Go de données de l’entreprise. La violation présumée intervient dans un contexte de campagne plus large de Clop visant les organisations exploitant des systèmes PTC Windchill et FlexPLM accessibles en ligne.
Shell a reconnu la situation après que Clop a ajouté l’entreprise à son site de fuites sur le dark web. Un porte-parole de l’entreprise a déclaré que Shell était au courant d’un incident potentiel et avait fait appel à ses équipes de sécurité ainsi qu’aux spécialistes concernés pour enquêter. Shell n’a pas encore confirmé que les attaquants ont obtenu les fichiers décrits par Clop.
Selon les affirmations du groupe cybercriminel, le matériel volé comprend des plans techniques, des photographies d’installations, des plans de projet et des rapports scannés liés aux tests sur l’installation. Ces détails restent des allégations de la part de Clop pendant que l’enquête de Shell se poursuit, et la société n’a pas confirmé publiquement le volume ou le contenu d’informations compromises.
Le calendrier relie la présence de Shell sur le site de fuite de Clop à une série beaucoup plus large d’attaques. Shell faisait partie des 43 organisations nouvellement cotées que l’on croit avoir été ciblées à cause d’instances exposées des logiciels de gestion du cycle de vie des produits Windchill et FlexPLM de PTC. Clop a également revendiqué le vol de données auprès de General Electric et Philips dans le cadre de la même activité.
Les attaques ont été associées à CVE-2026-12569, une vulnérabilité critique affectant PTC Windchill et FlexPLM. PTC affirme que la faille de sécurité peut permettre à un attaquant non autorisé d’exécuter du code à distance. L’entreprise a commencé à fournir des recommandations de remédiation en juin et a ensuite publié des correctifs de sécurité couvrant les versions concernées des deux plateformes.
PTC a également documenté des indicateurs montrant que des attaquants déployaient des webshells JSP persistants dans le répertoire de connexion de Windchill. Ces webshells peuvent fournir l’exécution de commandes à distance et faciliter l’exfiltration de données depuis des serveurs compromis. Fin juin, PTC mettait en garde les clients contre la poursuite de « l’augmentation de l’activité de menace » et appelait à une remédiation immédiate.
Le refroidissement éolien et le FlexPLM sont utilisés pour gérer l’information tout au long du cycle de vie des produits, rendant les installations compromises potentiellement des sources précieuses d’informations d’entreprise et d’ingénierie. Cela correspond aux types de matériaux que Clop affirme avoir obtenus de Shell, y compris les dessins et la documentation du projet, bien que Shell n’ait pas confirmé que CVE-2026-12569 était la voie utilisée pour accéder à ses systèmes.
PTC a continué à mettre à jour ses recommandations de sécurité à mesure que de nouveaux indicateurs de compromission apparaissaient. Le fournisseur conseille aux clients d’appliquer immédiatement les correctifs disponibles, d’examiner leur environnement à la recherche d’indicateurs connus et de limiter l’exposition inutile à Internet des interfaces de connexion Windchill.
La dernière activité de Clop semble se concentrer davantage sur le vol d’informations que sur le chiffrement des systèmes d’entreprise. Dans la campagne Windchill et FlexPLM, les serveurs de gestion produit compromis peuvent contenir des projets, des plans techniques, des schémas, des sauvegardes et d’autres fichiers internes qui peuvent ensuite être utilisés pour des extorsions.
Pour Shell en particulier, les informations confirmées restent limitées. L’entreprise a reconnu qu’elle enquête sur un incident de sécurité potentiel, tandis que l’affirmation selon laquelle 89 Go d’informations d’ingénierie et de projets ont été volées provient actuellement de Clop. Shell n’a pas confirmé publiquement la quantité de données affectées, les systèmes spécifiques concernés, ni si la vulnérabilité du PTC était responsable de la potentielle compromission.