Shellは、ランサムウェアグループClopが同社の89ギガバイトのデータを盗んだと主張したことを受け、潜在的なセキュリティインシデントを調査していることを確認した。Shellはデータ窃盗の発生を確認していないが、主張を調査するため、セキュリティチームおよび関係する専門家と連携していると述べた。
Shellの広報担当者はBleepingComputerに対し、当社は潜在的なインシデントを把握しており、調査のためセキュリティチームおよび関係する専門家と連携していますと述べた。同社は現時点で、インシデントの性質や、アクセスまたは盗難の被害を受けた可能性のあるデータについて、追加情報を提供していない。
Clopが盗んだと主張するデータ
Clopはダークウェブ上のデータ漏えいサイトにShellを掲載し、盗まれたファイルには設計図、施設試験報告書のスキャンコピー、施設の写真、プロジェクト計画が含まれると述べた。
報告書の情報によると、Shellは英国の多国籍エネルギーグループであり、70か国以上で8万5,000人を雇用している。また、毎日2,000万人を超える顧客にサービスを提供する、広範なサービスステーションおよび充電ステーションのネットワークを運営している。
PTCプラットフォームの脆弱性との関連
Shellの掲載は、PTC WindchillおよびPTC FlexPLMのインターネット上に露出したインスタンスを悪用したデータ窃盗攻撃の標的になったとみられる、新たな被害者43組織のリストに含まれていた。攻撃では、CVE-2026-12569という識別子が付与された、入力検証に関する重大な脆弱性が悪用された。
WindchillとFlexPLMは、製品の追跡、設計、管理から最終製造段階までを含む、製品ライフサイクルの管理に使用される。両プラットフォームは、航空宇宙、防衛、自動車、重機、小売、医療技術の各分野におけるエンジニアリング、製造、品質、サプライチェーンのチームに広く利用されている。PTCによると、同社製品は世界中で3万を超える顧客に利用されており、その中にはFlexPLMを利用する1,500を超えるブランドおよび小売業界の顧客が含まれる。
セキュリティ上の警告と修正
PTCは6月17日にこの脆弱性向けの修正プログラムの提供を開始し、顧客向けの専用ガイダンスも公開した。その中で、脆弱性の実際の悪用を当時確認してはいなかったものの、環境内を調査して侵害の兆候を探すよう顧客に促した。
PTCが6月26日に脅威活動の増加を警告した後、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、この脆弱性が攻撃で実際に悪用されていることを確認し、既知の悪用された脆弱性カタログに追加した。また、連邦機関に対し、3日以内に自組織のWindchillおよびFlexPLMのインスタンスを保護するよう求めた。ドイツ連邦情報セキュリティ庁（BSI）もPTCの顧客にこの脆弱性を警告し、できるだけ早く更新プログラムをインストールするよう呼びかけた。
ランサムウェアの脅威の追跡および防御を専門とするRansom-ISACと、サイバーセキュリティ企業ReliaQuestは、両プラットフォームに関連するClopの攻撃が発生したことを確認した。ReliaQuestによると、攻撃者はJSP webshellファイルを展開し、侵害された製品ライフサイクル管理プラットフォームから機密データを盗めるようにしていた。
Clopはさらに、General ElectricとPhilipsのネットワークから、バックアップ、システムファイル、プロジェクト、設計図、図面などの機密データを盗んだと主張した。報告書の作成時点で、両社の広報担当者およびPTCの広報担当者は、コメントの要請にすぐには応じなかった。