أكدت شركة Shell أنها تحقق في حادث أمني محتمل بعدما ادعت مجموعة الفدية Clop أنها سرقت 89 غيغابايت من بيانات الشركة. ولم تؤكد Shell وقوع سرقة البيانات، لكنها قالت إنها تعمل مع فرق الأمن والخبراء المعنيين للتحقيق في الادعاء.
وقال متحدث باسم Shell لموقع BleepingComputer: نحن على علم بحادث محتمل، ونعمل مع فرق الأمن والخبراء المعنيين للتحقيق. ولم تقدم الشركة حتى الآن معلومات إضافية حول طبيعة الحادث أو البيانات التي ربما تكون قد تعرضت للوصول أو السرقة.
البيانات التي تزعم Clop سرقتها
أدرجت Clop شركة Shell في موقع تسريب البيانات التابع لها على الويب المظلم، وقالت إن الملفات المسروقة تتضمن رسومات هندسية، ونسخاً ممسوحة ضوئياً من تقارير اختبار المنشآت، وصوراً للمرافق، وخططاً للمشروعات.
وتُعد Shell مجموعة طاقة بريطانية متعددة الجنسيات، وتوظف 85 ألف شخص في أكثر من 70 دولة، كما تدير شبكة واسعة من محطات الخدمة وإعادة الشحن التي تخدم أكثر من 20 مليون عميل يومياً، وفق المعلومات الواردة في التقرير.
صلة الهجوم بثغرة في منصات PTC
جاء إدراج Shell ضمن قائمة تضم 43 ضحية جديدة يُرجح أن تكون قد استُهدفت في هجمات سرقة بيانات استغلت مثيلات مكشوفة على الإنترنت من منصتي PTC Windchill وPTC FlexPLM. واستفادت الهجمات من ثغرة حرجة في التحقق من صحة المدخلات، تحمل المعرف CVE-2026-12569.
وتستخدم منصتا Windchill وFlexPLM لإدارة دورة حياة المنتجات، بما يشمل تتبع المنتجات وتصميمها وإدارتها حتى مرحلة التصنيع النهائي. وتحظى المنصتان بانتشار واسع بين فرق الهندسة والتصنيع والجودة وسلاسل الإمداد في قطاعات الطيران والدفاع والسيارات والمعدات الثقيلة وتجارة التجزئة والتقنيات الطبية. وتقول PTC إن منتجاتها مستخدمة لدى أكثر من 30 ألف عميل حول العالم، بينهم أكثر من 1500 علامة تجارية وعميل في قطاع التجزئة يستخدمون FlexPLM.
تحذيرات وتصحيحات أمنية
بدأت PTC إصدار تصحيحات للثغرة في 17 يونيو، كما أصدرت إرشاداً خاصاً للعملاء حثتهم فيه على فحص بيئاتهم بحثاً عن مؤشرات اختراق، رغم أنها لم تؤكد حينها استغلال الثغرة فعلياً.
وبعد أن حذرت PTC في 26 يونيو من تصاعد النشاط التهديدي، أكدت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) أن الثغرة تُستغل فعلياً في هجمات، وأضافتها إلى كتالوج الثغرات المستغلة المعروفة، مع مطالبة الوكالات الفيدرالية بتأمين مثيلات Windchill وFlexPLM لديها خلال ثلاثة أيام. كما حذرت الهيئة الألمانية لأمن المعلومات (BSI) عملاء PTC من الثغرة، ودعتهم إلى تثبيت التحديثات بأسرع ما يمكن.
وأكد مركز Ransom-ISAC، المتخصص في تتبع تهديدات برمجيات الفدية والدفاع ضدها، وشركة ReliaQuest للأمن السيبراني، وقوع هجمات Clop المرتبطة بالمنصتين. وقالت ReliaQuest إن المهاجمين نشروا ملفات JSP webshell تتيح لهم سرقة بيانات حساسة من منصات إدارة دورة حياة المنتجات المخترقة.
وادعت Clop كذلك سرقة بيانات حساسة، من بينها نسخ احتياطية وملفات أنظمة ومشروعات ورسومات ومخططات، من شبكتي General Electric وPhilips. ولم يكن متحدثو الشركتين، إلى جانب متحدث باسم PTC، قد ردوا فوراً على طلبات التعليق عند إعداد التقرير.