El grupo de ransomware Clop afirma haber robado datos sensibles de gigantes como GE, Philips y Shell, explotando una vulnerabilidad crítica en el software de PTC. Mientras Philips confirmó que el incidente fue contenido sin afectar a clientes, GE y Shell continúan investigando los ataques. Esta campaña forma parte de una serie de ofensivas globales de Clop contra plataformas empresariales, lo que ha llevado al gobierno de EE. UU. a ofrecer una recompensa de 10 millones de dólares por información sobre la banda.





Los gigantes tecnológicos General Electric (GE) y Philips también han confirmado que están investigando las afirmaciones de que la banda de ransomware Clop vulneró sus sistemas y robó datos.

Mientras que un portavoz de GE afirmó que la empresa es consciente de la reclamación y está "trabajando para evaluar el problema potencial", un portavoz de Philips confirmó que sus sistemas fueron vulnerados, pero señaló que el incidente ha sido contenido y no afectó a los clientes.

"Philips ha identificado y contenido un intento de compromiso de ciberseguridad de un servidor empresarial específico relacionado con datos internos", afirmó Philips en un comunicado compartido con Reuters. "Esto no tiene impacto en los entornos de los clientes".

Los portavoces de GE y Philips aún no han respondido después de que se les contactara para obtener más detalles y confirmar las afirmaciones de la banda de ransomware Clop.

Esto ocurre después de que el gigante petrolero Shell también dijera el viernes que está investigando un posible incidente de seguridad después de que el grupo de hacking Clop afirmara haber robado 89 GB de datos.

"Somos conscientes de un posible incidente", dijo un portavoz de Shell al ser preguntado para confirmar las afirmaciones de robo de datos de la banda. "Estamos trabajando con nuestros equipos de seguridad y expertos pertinentes para investigar".

Aunque las tres empresas aún no han compartido más información, la banda Clop las ha enumerado en su sitio de filtraciones como parte de un lote de 43 nuevas víctimas, probablemente objetivo de ataques de robo de datos que explotan una vulnerabilidad crítica de validación de entrada incorrecta (rastreada como CVE-2026-12569) contra instancias de PTC Windchill y PTC FlexPLM expuestas a Internet.

PTC afirma que las dos plataformas de software empresarial son ampliamente utilizadas por empresas de alto perfil en los sectores aeroespacial, de defensa, automotriz, maquinaria pesada, retail y medtech. La empresa indica que más de 30.000 clientes a nivel mundial utilizan sus productos, incluyendo más de 1.500 clientes de marca y retail que utilizan FlexPLM.

En estos ataques, Clop afirma haber robado una amplia gama de datos sensibles de los sistemas comprometidos de las empresas, incluyendo copias de seguridad, planes de proyectos, fotos de instalaciones, dibujos, diagramas, planos y más, pertenecientes a Shell, GE y Philips.

Rclamaciones de robo de datos de clop

PTC comenzó a publicar parches de seguridad para CVE-2026-12569 el 17 de junio aquí e instó a los clientes a revisar sus entornos en busca de indicadores de compromiso (IOC) en un aviso privado aquí, a pesar de que no hubo confirmación de explotación en el mundo real.

Desde entonces, la empresa de ciberseguridad ReliaQuest y el Centro de Intercambio y Análisis de Información sobre Ransomware (Ransom-ISAC) han confirmado los ataques de Clop a Windchill y FlexPLM, en los cuales los actores de amenazas han estado desplegando webshells JSP para robar datos sensibles de las plataformas PLM comprometidas de las víctimas.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) también confirmó que el fallo está siendo explotado activamente en ataques después de que PTC advirtiera de una "actividad de amenaza elevada" el 26 de junio, obligando a las agencias federales a asegurar sus instancias de PTC Windchill y PTC FlexPLM en un plazo de tres días tras añadirlo a su catálogo de vulnerabilidades explotadas conocidas aquí.

Esta vulnerabilidad también ha provocado una acción de emergencia por parte de las autoridades alemanas aquí, con la Oficina Federal de Seguridad de la Información (BSI) advirtiendo a los clientes de PTC en plena noche para que parchearan sus sistemas lo más rápido posible.

La banda de extorsión Clop tiene un largo historial de atacar plataformas empresariales en ataques de robo de datos, vulnerando servidores de intercambio de archivos como Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo y MOVEit Transfer en campañas anteriores, afectando este último a más de 2.770 organizaciones en todo el mundo aquí.

A partir de principios de agosto de 2025, también comenzó a explotar un fallo zero-day de Oracle EBS para robar archivos sensibles de muchas organizaciones. La lista de víctimas incluye organizaciones de alto perfil en todo el mundo, como The Washington Post, GlobalLogic, la Universidad de Harvard, la Universidad de Pensilvania, Logitech, Estée Lauder, Korean Air y la subsidiaria de American Airlines, Envoy Air.

El Departamento de Estado de EE. UU. ofrece ahora una recompensa de 10 millones de dólares por cualquier información que vincule los ataques de la banda de cibercrimen con un gobierno extranjero.

Fuente:
BleepingComputer