General Electric（GE）とPhilipsは、ランサムウェア集団Clopが両社のシステムに侵入し、データを窃取したと主張していることについて調査を開始した。この動きは、製品ライフサイクル管理にPTC WindchillおよびPTC FlexPLMプラットフォームを使用する施設を標的とした、より広範な攻撃キャンペーンの一環として行われている。
GEの広報担当者は、同社がこの主張を把握しており、潜在的な問題を評価していると述べた。一方、Philipsは自社のシステムが侵害されたことを確認し、インシデントは内部データに関連する特定の企業サーバーへの侵入の試みに限定され、封じ込められており、顧客環境には影響していないと説明した。報告書の公開時点である2026年8月17日まで、両社は追加の詳細を明らかにしておらず、Clopの主張を確認するためのBleepingComputerからの問い合わせにも回答していない。
製品管理プラットフォームを標的とするキャンペーンの一環との主張
Clopは、GE、Philips、石油会社Shellの3社を、自身のリークサイトに掲載した新たな43の被害組織のリストに加えた。これらの攻撃は、インターネットに公開されたWindchillおよびFlexPLMのバージョンに存在する、入力検証に関する重大な脆弱性（識別子CVE-2026-12569）を悪用して実行されたと報じられている。
Clopは、企業のシステムからバックアップ、プロジェクト計画、施設の画像、図面、設計図、エンジニアリング仕様など、幅広いデータを窃取したと述べた。また、Shellが89ギガバイトのデータを失ったと主張したが、データの量や性質を検証するのに十分な情報を企業側はまだ公表していない。
Shellは以前、潜在的なインシデントを把握しており、調査のためにセキュリティチームおよび関係する専門家と連携していることを確認していた。
PTCの顧客にとってこの動きが重要な理由
このインシデントが重要なのは、両プラットフォームの利用基盤が広範であるためだ。PTCによると、同社製品は世界中で3万社を超える顧客に利用されており、そのうちFlexPLMを利用するブランド企業および小売企業の顧客は1,500社を超える。影響を受ける可能性がある業界には、航空宇宙・防衛、自動車、重機、小売、医療技術が含まれ、これらのシステムに保存されたデータは高い業務上およびエンジニアリング上の価値を持つ。
PTCは6月17日にこの脆弱性向けの修正プログラムの提供を開始し、当時は実際に悪用されたとの確認がなかったにもかかわらず、専用のガイダンスで侵害の痕跡がないか環境を確認するよう顧客に呼びかけた。しかし、ReliaQuestとランサムウェア情報共有センターRansom-ISACは後に、WindchillおよびFlexPLMに対するClopの攻撃を確認した。攻撃には、機密データを窃取するためのJSP webshell型の制御ツールの展開が含まれていた。
セキュリティ当局の対応
米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、この脆弱性が実際に悪用されていることを確認した。PTCが6月26日に脅威活動の増加を警告した後、CISAはこの脆弱性を既知の悪用された脆弱性カタログに追加し、連邦政府機関に対して3日以内にWindchillおよびFlexPLMのインスタンスを保護するよう義務付けた。また、ドイツ連邦情報セキュリティ庁（BSI）も顧客に危険を警告し、できるだけ早く修正プログラムを適用するよう呼びかけた。
このキャンペーンは、企業向けプラットフォームを標的にしてデータを窃取するClopの繰り返されるパターンの一環である。過去のキャンペーンでは、Accellion FTA、GoAnywhere MFT、SolarWinds Serv-U FTP、Cleo、MOVEit Transferが標的となり、MOVEitのキャンペーンは世界中で2,770以上の組織に影響を及ぼした。2025年8月初旬以降、同集団はOracle EBSの未公表のゼロデイ脆弱性も悪用している。また、米国務省は、同集団の攻撃と外国政府とのつながりを示す情報の提供者に1,000万ドルの報奨金を提示している。