Die Erpressergruppe Clop (Cl0p) hat auf ihrer Leak-Seite zahlreiche Unternehmen als angebliche Opfer einer neuen Datendiebstahlkampagne veröffentlicht. Zu den genannten Organisationen gehören der Energiekonzern Shell, der Technologiekonzern Philips sowie General Electric, Fiserv und weitere Unternehmen.
Nach Angaben der Clop-Gruppe sollen bei Shell 89 GByte und bei Philips 13,5 GByte Daten erbeutet worden sein. Clop nennt außerdem interne Unterlagen, Projektinformationen, technische Zeichnungen, Backups und Systemdateien als mögliche Bestandteile der gestohlenen Daten. Die Angaben stammen ausschließlich von der Leak-Seite und sind bislang nicht unabhängig verifiziert.
Shell und Philips prüfen noch
Shell bestätigte gegenüber der Plattform BleepingComputer, einen möglichen Sicherheitsvorfall zu untersuchen. Philips und GE teilten ebenfalls mit, die Behauptungen von Clop zu prüfen. Keine der genannten Firmen bestätigte bislang den von Clop behaupteten Datenumfang oder eine Veröffentlichung der Daten.
Nach Informationen von BleepingComputer steht die Kampagne im Zusammenhang mit Angriffen auf internetexponierte Installationen von PTC Windchill und PTC FlexPLM. Die Angreifer sollen dabei die kritische Schwachstelle CVE-2026-12569 ausgenutzt haben.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenPTC Windchill als Einfallstor
Die Sicherheitslücke ermöglicht unter bestimmten Voraussetzungen eine Remote-Code-Ausführung ohne vorherige Anmeldung. Clop soll kompromittierte Systeme anschließend mit speziell entwickelten Java-Webshells ausgestattet haben. Diese Werkzeuge können laut Analysen Zugangsdaten entschlüsseln, Datenablagen durchsuchen und Dateien aus den betroffenen Produktlebenszyklus-Systemen kopieren.
Clop verfolgt seit Jahren ein wiederkehrendes Muster: Die Gruppe sucht nach Schwachstellen in weit verbreiteten Unternehmensplattformen, kompromittiert viele Systeme in kurzer Zeit und erpresst die betroffenen Organisationen anschließend mit gestohlenen Daten. Zu den früheren Kampagnen gehörten Angriffe auf MOVEit, GoAnywhere, Cleo und Oracle E-Business Suite.