Shell은 랜섬웨어 그룹 Clop이 회사 데이터 89기가바이트를 탈취했다고 주장한 후 잠재적 보안 사고를 조사하고 있다고 확인했다. Shell은 데이터 탈취가 발생했다는 사실을 확인하지는 않았지만, 해당 주장을 조사하기 위해 관련 보안팀 및 전문가들과 협력하고 있다고 밝혔다.
Shell 대변인은 BleepingComputer에 잠재적 사고를 인지하고 있으며, 조사를 위해 관련 보안팀 및 전문가들과 협력하고 있습니다라고 말했다. 회사는 현재까지 사고의 성격이나 접근 또는 탈취되었을 가능성이 있는 데이터에 관한 추가 정보를 제공하지 않았다.
Clop이 탈취했다고 주장하는 데이터
Clop은 다크웹에 있는 자체 데이터 유출 사이트에 Shell을 올리고, 탈취된 파일에 엔지니어링 도면, 시설 테스트 보고서 스캔본, 시설 사진 및 프로젝트 계획이 포함되어 있다고 밝혔다.
보고서에 따르면 Shell은 다국적 영국 에너지 그룹으로, 70개국 이상에서 8만 5,000명을 고용하고 있으며, 매일 2,000만 명 이상의 고객에게 서비스를 제공하는 광범위한 주유소 및 충전 네트워크를 운영하고 있다.
PTC 플랫폼 취약점과의 연관성
Shell의 등재는 PTC Windchill 및 PTC FlexPLM 플랫폼의 인터넷에 노출된 인스턴스를 악용한 데이터 탈취 공격의 표적이 된 것으로 추정되는 새로운 피해자 43곳의 목록에 포함된 것이다. 공격은 CVE-2026-12569라는 식별자가 부여된 입력 검증 취약점인 치명적인 취약점을 악용했다.
Windchill과 FlexPLM은 제품 수명주기 관리에 사용되며, 제품의 추적과 설계부터 최종 제조 단계까지의 관리를 포함한다. 두 플랫폼은 항공우주, 방위, 자동차, 중장비, 소매 및 의료 기술 분야의 엔지니어링, 제조, 품질 및 공급망 팀에서 널리 사용된다. PTC에 따르면 자사 제품은 전 세계 3만 곳 이상의 고객이 사용하고 있으며, 여기에는 FlexPLM을 사용하는 1,500개 이상의 브랜드 및 소매 부문 고객이 포함된다.
보안 경고 및 패치
PTC는 6월 17일부터 해당 취약점에 대한 패치를 배포하기 시작했으며, 당시 실제 악용을 확인하지는 않았지만 고객들에게 환경을 점검해 침해 지표를 찾으라고 촉구하는 별도 지침도 발표했다.
PTC가 6월 26일 위협 활동의 증가를 경고한 후, 미국 사이버보안·인프라 보안국(CISA)은 해당 취약점이 공격에 실제로 악용되고 있다고 확인하고 알려진 악용 취약점 카탈로그에 추가했다. 또한 연방 기관에 3일 이내에 Windchill 및 FlexPLM 인스턴스를 보호할 것을 요구했다. 독일 연방정보보안청(BSI)도 PTC 고객들에게 취약점을 경고하고 가능한 한 신속하게 업데이트를 설치할 것을 촉구했다.
랜섬웨어 위협 추적 및 방어를 전문으로 하는 Ransom-ISAC 센터와 사이버보안 기업 ReliaQuest는 플랫폼과 관련된 Clop 공격이 발생했다고 확인했다. ReliaQuest는 공격자들이 JSP 웹셸 파일을 배포해 침해된 제품 수명주기 관리 플랫폼에서 민감한 데이터를 탈취할 수 있도록 했다고 밝혔다.
Clop은 또한 General Electric과 Philips의 네트워크에서 백업, 시스템 및 프로젝트 파일, 도면 및 설계도를 비롯한 민감한 데이터를 탈취했다고 주장했다. 보도 작성 당시 두 회사의 대변인들과 PTC 대변인은 논평 요청에 즉시 응답하지 않았다.