A empresa de energia Shell está investigando um possível incidente de cibersegurança após o grupo de ransomware Clop alegar ter roubado 89GB de dados da empresa. A suposta violação ocorre em meio a uma campanha mais ampla do Clop voltada para organizações que operam sistemas PTC Windchill e FlexPLM acessíveis pela internet.
A Shell reconheceu a situação depois que Clop adicionou a empresa ao seu site de vazamento na dark web. Um porta-voz da empresa disse que a Shell estava ciente de um possível incidente e havia convocado suas equipes de segurança e especialistas relevantes para investigar. A Shell ainda não confirmou que os atacantes obtiveram os arquivos descritos por Clop.
De acordo com as alegações do grupo cibercriminoso, o material roubado inclui desenhos de engenharia, fotografias da instalação, planos de projetos e relatórios escaneados relacionados a testes da instalação. Esses detalhes continuam sendo alegações de Clop enquanto a investigação da Shell continua, e a empresa não confirmou publicamente o volume ou o conteúdo de nenhuma informação comprometida.
O momento liga a aparição da Shell no site de vazamento de Closop a uma série muito mais ampla de atacos. A Shell foi uma das 43 organizações recém-listadas que se acredita terem sido alvo por exemplos expostos dos softwares de gerenciamento do ciclo de vida de produtos Windchill e FlexPLM da PTC. Clop também alegou roubo de dados da General Electric e da Philips como parte da mesma atividade.
Os ataques foram associados ao CVE-2026-12569, uma vulnerabilidade crítica que afeta o PTC Windchill e o FlexPLM. O PTC afirma que a falha de segurança pode permitir que um atacante não autorizado execute código remotamente. A empresa começou a fornecer orientações de remediação em junho e, posteriormente, lançou patches de segurança cobrindo as versões afetadas de ambas as plataformas.
O PTC também documentou indicadores mostrando atacantes implantando webshells persistentes do JSP no diretório de login da Windchill. Tais webshells podem fornecer execução remota de comandos e facilitar a exfiltração de dados de servidores comprometidos. No final de junho, a PTC já alertava os clientes sobre a contínua “atividade de ameaça aumentada” e pedia remediação imediata.
Windchill e FlexPLM são usados para gerenciar informações ao longo do ciclo de vida dos produtos, tornando instalações comprometidas fontes potencialmente valiosas de informações corporativas e de engenharia. Isso corresponde aos tipos de material que a Clop afirma ter obtido da Shell, incluindo desenhos e documentação do projeto, embora a Shell não tenha confirmado que o CVE-2026-12569 foi a rota usada para acessar seus sistemas.
A PTC continuou atualizando suas orientações de segurança à medida que novos indicadores de comprometimento surgiram. O fornecedor aconselha os clientes a aplicarem imediatamente os patches disponíveis, examinarem seus ambientes em busca de indicadores conhecidos e restringirem a exposição desnecessária à internet das interfaces de login Windchill.
A atividade mais recente da Clop parece focada fortemente em roubar informações, em vez de necessariamente criptografar sistemas corporativos. Na campanha Windchill e FlexPLM, servidores de gerenciamento de produto comprometidos podem conter projetos, desenhos técnicos, diagramas, backups e outros arquivos internos que podem ser usados posteriormente para extorsão.
Para a Shell especificamente, as informações confirmadas continuam limitadas. A empresa reconheceu que está investigando um possível incidente de segurança, enquanto a alegação de que 89GB de informações de engenharia e relacionadas a projetos foram roubadas atualmente vem da Clop. A Shell não confirmou publicamente a quantidade de dados afetados, os sistemas específicos envolvidos ou se a vulnerabilidade do PTC foi responsável pelo possível comprometimento.