El gigante energético multinacional Shell ha iniciado una investigación activa después de que el conocido sindicato de ransomware Cl0p afirmara haber exfiltrado datos internos confidenciales. Actualmente, investigadores de seguridad y equipos forenses analizan la legitimidad y el alcance del ciberataque, mientras el colectivo de extorsión ha incluido a la compañía en su lista de la dark web.

El gigante energético multinacional Shell ha puesto en marcha una investigación activa después de que el notorio sindicato de ransomware Cl0p se atribuyera la responsabilidad de la exfiltración de datos internos confidenciales.

Los investigadores de seguridad y los defensores empresariales están siguiendo de cerca la situación mientras los equipos forenses trabajan para evaluar la legitimidad y el alcance operativo del ciberataque.

El colectivo de extorsión incluyó a Shell en su portal de filtraciones de la dark web, alegando el robo de aproximadamente 89 gigabytes de datos corporativos patentados. Según las declaraciones publicadas en el sitio del grupo cibercriminal, los archivos comprometidos incluirían supuestamente planos de ingeniería, fotografías de instalaciones, hojas de ruta de proyectos e informes de pruebas. Los actores de amenazas suelen desplegar estos listados de vista previa para ejercer la máxima presión sobre las víctimas empresariales antes de filtrar los conjuntos de datos completos.

El espionaje corporativo y los intentos de extorsión dirigidos a la infraestructura energética conllevan graves implicaciones operativas y en la cadena de suministro. Aunque Cl0p se ha centrado históricamente en la extorsión mediante la exfiltración de datos en lugar de desplegar cifradores en las redes de tecnología operativa, la exposición de planos de ingeniería y auditorías de instalaciones introduce riesgos significativos de seguridad y para las contrapartes. Los analistas enfatizan que verificar la autenticidad de los archivos sigue siendo el procedimiento estándar durante los incidentes de extorsión.

Shell reconoció las afirmaciones y activó los protocolos internos de respuesta a incidentes cibernéticos para evaluar la integridad de sus redes. Representantes de la compañía señalaron que las investigaciones continúan en curso junto con firmas externas de análisis forense digital para determinar si los entornos de producción o los activos de los empleados sufrieron accesos no autorizados.

“Estamos trabajando con nuestros equipos de seguridad y expertos pertinentes para investigar la situación”, dijo un portavoz de Shell.

La empresa no ha confirmado ninguna interrupción operativa en sus refinerías, operaciones de perforación o infraestructura informática central. Los responsables de la respuesta al incidente continúan analizando la telemetría de frontera, los registros de identidad y los despliegues de software de terceros para identificar posibles vectores de acceso inicial.

Cl0p, también rastreado como afiliados de TA505 o FIN11, tiene un largo historial de llevar a cabo campañas de explotación masiva y automatizada contra software empresarial. El sindicato ejecutó previamente ataques de cadena de suministro de día cero contra plataformas de transferencia de archivos gestionadas, incluyendo MOVEit Transfer y Accellion FTA, comprometiendo a cientos de organizaciones en todo el mundo.

Informes recientes de inteligencia de amenazas también conectan al grupo con campañas dirigidas a plataformas web empresariales expuestas y herramientas de gestión del ciclo de vida del producto.

En lugar de utilizar el cifrado tradicional de ransomware, el grupo confía frecuentemente en la extorsión pura. Los actores de amenazas exfiltran bases de datos estructuradas y archivos no cifrados utilizando shells web personalizadas, exigiendo rescates de millones de dólares a cambio de no publicarlos.

Este enfoque complica el triaje de incidentes empresariales, ya que los sistemas de archivos funcionan normalmente mientras los datos confidenciales permanecen comprometidos.

Los equipos de seguridad que manejan activos de infraestructura crítica deben aplicar controles perimetrales robustos y políticas estrictas de acceso a proveedores. Deberías identificar todos los dispositivos de gestión orientados a internet, auditar las dependencias externas y parchear rápidamente los dispositivos de borde contra vulnerabilidades conocidas.

Se aconseja a las empresas aplicar una agregación de registros centralizada en todas las puertas de enlace de autenticación, desplegar la autenticación de múltiples factores en todos los servicios administrativos y revisar el tráfico saliente en busca de picos anómalos de exfiltración.

A medida que avanzan las investigaciones forenses en el entorno de Shell, las organizaciones de todo el sector energético deberían revisar su exposición a la infraestructura conocida de los actores de amenazas y mantener planes de comunicación de incidentes probados.

Fuentes:
https://cybersecuritynews.com/shell-investigating-data-breach/