La società energetica Shell sta indagando su un possibile incidente di cybersecurity dopo che il gruppo ransomware Clop ha affermato di aver rubato 89GB di dati aziendali. La presunta violazione avviene nel contesto di una più ampia campagna Clop che prende di mira organizzazioni che utilizzano sistemi PTC Windchill e FlexPLM accessibili a internet.
Shell ha riconosciuto la situazione dopo che Clop ha aggiunto l’azienda al suo sito di fughe di notizie sul dark web. Un portavoce dell’azienda ha dichiarato che Shell era a conoscenza di un possibile incidente e aveva coinvolto i suoi team di sicurezza e gli specialisti competenti per indagare. Shell non ha ancora confermato che gli aggressori abbiano ottenuto i file descritti da Clop.
Secondo le affermazioni del gruppo di criminali informatici, il materiale rubato include disegni tecnici, fotografie della struttura, piani di progetto e rapporti scansionati collegati ai test della struttura. Questi dettagli restano accuse da parte di Clop mentre l’indagine di Shell prosegue, e l’azienda non ha confermato pubblicamente il volume o il contenuto di alcuna informazione compromessa.
Il tempismo collega la presenza di Shell sul sito di fuga di notizie di Closop a una serie di attacchi molto più ampia. Shell è stata una delle 43 nuove organizzazioni quotate ritenute essere state prese di mira a causa di casi esposti del software di gestione del ciclo di vita dei prodotti Windchill e FlexPLM di PTC. Clop ha anche denunciato il furto di dati da General Electric e Philips come parte della stessa attività.
Gli attacchi sono stati associati a CVE-2026-12569, una vulnerabilità critica che colpisce PTC Windchill e FlexPLM. PTC afferma che la falla di sicurezza può permettere a un attaccante non autorizzato di eseguire codice a distanza. L’azienda ha iniziato a fornire linee guida per la bonifica a giugno e successivamente ha rilasciato patch di sicurezza che coprono le versioni interessate di entrambe le piattaforme.
PTC ha anche documentato indicatori che mostrano gli attaccanti che impiegano webshell JSP persistenti nella directory di login di Windchill. Tali webshell possono fornire l’esecuzione remota di comandi e facilitare l’esfiltrazione di dati da server compromessi. Entro fine giugno, PTC avvertiva i clienti della continua “attività minacciosa aumentata” e sollecitava una bonifica immediata.
Windchill e FlexPLM sono utilizzati per gestire le informazioni durante tutto il ciclo di vita dei prodotti, rendendo le installazioni compromesse potenzialmente fonti preziose di informazioni aziendali e ingegneristiche. Ciò corrisponde ai tipi di materiale che Clop afferma di aver ottenuto da Shell, inclusi disegni e documentazione del progetto, anche se Shell non ha confermato che CVE-2026-12569 fosse il percorso utilizzato per accedere ai suoi sistemi.
PTC ha continuato ad aggiornare le sue linee guida sulla sicurezza man mano che sono emersi ulteriori indicatori di compromissione. Il fornitore consiglia ai clienti di applicare immediatamente le patch disponibili, esaminare i loro ambienti per individuare indicatori noti e limitare l’esposizione non necessaria a internet delle interfacce di login Windchill.
L’ultima attività di Clop sembra concentrarsi fortemente sul furto di informazioni piuttosto che necessariamente sulla crittografia dei sistemi aziendali. Nella campagna Windchill e FlexPLM, i server di product management compromessi possono contenere progetti, disegni tecnici, diagrammi, backup e altri file interni che possono essere successivamente utilizzati per estorsione.
Per Shell in particolare, le informazioni confermate restano limitate. L’azienda ha riconosciuto di essere indagando su un potenziale incidente di sicurezza, mentre l’affermazione che 89GB di informazioni ingegneristiche e relative al progetto siano state attualmente rubate proviene da Clop. Shell non ha confermato pubblicamente la quantità di dati interessati, i sistemi specifici coinvolti o se la vulnerabilità PTC fosse responsabile della potenziale compromessa.