Shell bestätigte, dass das Unternehmen einen möglichen Sicherheitsvorfall untersucht, nachdem die Ransomware-Gruppe Clop behauptet hatte, 89 Gigabyte an Unternehmensdaten gestohlen zu haben. Shell bestätigte den Datendiebstahl nicht, erklärte jedoch, dass das Unternehmen mit den zuständigen Sicherheitsteams und Experten zusammenarbeite, um die Behauptung zu untersuchen.
Ein Sprecher von Shell sagte gegenüber BleepingComputer: Wir sind uns eines möglichen Vorfalls bewusst und arbeiten mit den zuständigen Sicherheitsteams und Experten an der Untersuchung. Das Unternehmen machte bislang keine weiteren Angaben zur Art des Vorfalls oder zu den Daten, auf die möglicherweise zugegriffen wurde oder die möglicherweise gestohlen wurden.
Die Daten, deren Diebstahl Clop behauptet
Clop führte Shell auf seiner Datenleck-Website im Darknet auf und erklärte, dass die gestohlenen Dateien technische Zeichnungen, gescannte Kopien von Anlagenprüfberichten, Bilder von Einrichtungen und Projektpläne enthielten.
Shell ist ein britischer multinationaler Energiekonzern und beschäftigt laut den im Bericht enthaltenen Informationen 85.000 Menschen in mehr als 70 Ländern. Außerdem betreibt das Unternehmen ein weitreichendes Netz von Tankstellen und Ladestationen, das täglich mehr als 20 Millionen Kunden bedient.
Verbindung des Angriffs zu einer Schwachstelle in PTC-Plattformen
Shell wurde in eine Liste mit 43 neuen Opfern aufgenommen, die vermutlich bei Datendiebstahlangriffen ins Visier genommen wurden. Dabei wurden über das Internet erreichbare Instanzen der Plattformen PTC Windchill und PTC FlexPLM ausgenutzt. Die Angriffe nutzten eine kritische Schwachstelle bei der Eingabevalidierung mit der Kennung CVE-2026-12569 aus.
Die Plattformen Windchill und FlexPLM werden zur Verwaltung des Produktlebenszyklus eingesetzt, einschließlich der Verfolgung, Entwicklung und Verwaltung von Produkten bis zur abschließenden Fertigungsphase. Beide Plattformen sind in Ingenieur-, Fertigungs-, Qualitäts- und Lieferkettenteams in den Bereichen Luft- und Raumfahrt, Verteidigung, Automobilindustrie, Schwermaschinen, Einzelhandel und Medizintechnik weit verbreitet. PTC zufolge werden seine Produkte von mehr als 30.000 Kunden weltweit eingesetzt, darunter mehr als 1.500 Marken sowie Kunden aus dem Einzelhandel, die FlexPLM nutzen.
Sicherheitswarnungen und -updates
PTC begann am 17. Juni mit der Veröffentlichung von Updates für die Schwachstelle und gab zudem eine spezielle Empfehlung für Kunden heraus, in der sie aufgefordert wurden, ihre Umgebungen auf Anzeichen einer Kompromittierung zu überprüfen, obwohl das Unternehmen damals noch keine tatsächliche Ausnutzung der Schwachstelle bestätigt hatte.
Nachdem PTC am 26. Juni vor zunehmenden Bedrohungsaktivitäten gewarnt hatte, bestätigte die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA), dass die Schwachstelle tatsächlich bei Angriffen ausgenutzt wird. Sie nahm die Schwachstelle in ihren Katalog der bekannten, ausgenutzten Schwachstellen auf und forderte Bundesbehörden auf, ihre Windchill- und FlexPLM-Instanzen innerhalb von drei Tagen zu sichern. Auch das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte PTC-Kunden vor der Schwachstelle und forderte sie auf, die Updates so schnell wie möglich zu installieren.
Das auf die Verfolgung und Abwehr von Ransomware-Bedrohungen spezialisierte Ransom-ISAC sowie das Cybersicherheitsunternehmen ReliaQuest bestätigten, dass Clop-Angriffe im Zusammenhang mit den beiden Plattformen stattgefunden haben. ReliaQuest erklärte, dass die Angreifer JSP-Webshells bereitgestellt hätten, die ihnen den Diebstahl sensibler Daten aus kompromittierten Plattformen zur Verwaltung des Produktlebenszyklus ermöglichten.
Clop behauptete außerdem, sensible Daten aus den Netzwerken von General Electric und Philips gestohlen zu haben, darunter Backups sowie System- und Projektdateien, Zeichnungen und Pläne. Sprecher der beiden Unternehmen sowie ein Sprecher von PTC hatten bei der Erstellung des Berichts nicht umgehend auf Bitten um Stellungnahme reagiert.