General Electric(GE)과 Philips는 랜섬웨어 조직 Clop이 자사 시스템을 침해하고 데이터를 탈취했다고 주장한 데 대한 조사에 착수했다. 이번 사건은 제품 수명 주기 관리를 위해 PTC Windchill 및 PTC FlexPLM 플랫폼을 사용하는 시설을 겨냥한 광범위한 공격 캠페인의 일환으로 발생했다.
GE 대변인은 회사가 해당 주장을 인지하고 있으며 잠재적인 문제를 평가하고 있다고 밝혔다. Philips는 자사 시스템이 침해된 사실을 확인하면서, 이번 사고가 내부 데이터와 관련된 특정 기업용 서버에 대한 침입 시도로 제한됐고 차단됐으며 고객 환경에는 영향을 주지 않았다고 설명했다. 두 회사는 2026년 8월 17일 보도 시점까지 추가 세부 정보나 Clop의 주장을 확인하는 BleepingComputer의 문의에 대한 답변을 제공하지 않았다.
제품 관리 플랫폼을 겨냥한 캠페인의 일환으로 제기된 주장
Clop은 자사의 유출 사이트에 GE, Philips, 석유 회사 Shell 등 세 회사를 포함해 43개의 새로운 피해자 목록을 게시했다. 보도에 따르면 이번 공격은 인터넷에 노출된 Windchill 및 FlexPLM 버전에서 CVE-2026-12569로 식별된 입력 검증 관련 중요 취약점을 악용해 수행된 것으로 추정된다.
Clop은 기업 시스템에서 백업, 프로젝트 계획, 시설 사진, 도면, 설계도 및 엔지니어링 사양을 포함한 광범위한 데이터를 탈취했다고 밝혔다. 또한 Shell에서 89기가바이트의 데이터가 유출됐다고 주장했지만, 해당 데이터의 규모나 성격을 확인할 수 있는 충분한 정보를 기업들은 아직 공개하지 않았다.
Shell은 앞서 잠재적인 사고를 인지하고 있으며 이를 조사하기 위해 보안팀 및 관련 전문가들과 협력하고 있다고 밝힌 바 있다.
이 사건이 PTC 고객에게 중요한 이유
이번 사건이 중요한 이유는 두 플랫폼의 광범위한 사용 기반에 있다. PTC에 따르면 자사 제품은 전 세계 3만 곳 이상의 고객이 사용하고 있으며, 그중 FlexPLM을 사용하는 브랜드 및 소매 기업 고객은 1,500곳이 넘는다. 잠재적으로 영향을 받을 수 있는 산업에는 항공우주 및 방위, 자동차, 중장비, 소매업, 의료 기술이 포함되며, 이는 해당 시스템에 저장된 데이터가 높은 운영 및 엔지니어링 가치를 지닌다는 것을 의미한다.
PTC는 6월 17일 취약점에 대한 패치 배포를 시작했으며, 당시 실제 악용 여부에 대한 확인은 없었음에도 고객들에게 전용 지침에 따라 환경에서 침해 지표를 검토할 것을 요청했다. 그러나 ReliaQuest와 랜섬웨어 정보 공유 센터 Ransom-ISAC는 이후 Windchill 및 FlexPLM을 겨냥한 Clop의 공격을 확인했으며, 여기에는 민감한 데이터를 탈취하기 위한 JSP 웹셸 유형의 제어 도구 배포가 포함됐다.
보안 당국의 대응
미국 사이버보안 및 인프라 보안국(CISA)은 해당 취약점이 실제로 악용되고 있음을 확인했다. PTC가 6월 26일 위협 활동 증가를 경고한 뒤 CISA는 이 취약점을 알려진 악용 취약점 카탈로그에 추가했으며, 연방 기관에 3일 이내에 Windchill 및 FlexPLM 인스턴스를 보호하도록 의무화했다. 독일 연방정보보안청(BSI)도 고객들에게 위험을 경고하고 가능한 한 신속하게 패치를 설치할 것을 촉구했다.
이번 캠페인은 기업 플랫폼을 겨냥해 데이터를 탈취해 온 Clop의 반복적인 공격 패턴의 일환이다. 과거 캠페인에서는 Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo 및 MOVEit Transfer가 공격 대상이 됐으며, MOVEit 캠페인은 전 세계 2,770개 이상의 조직에 영향을 미쳤다. 2025년 8월 초부터 이 조직은 공개되지 않은 Oracle EBS 제로데이 취약점도 악용해 왔다. 한편 미국 국무부는 Clop의 공격을 외국 정부와 연결할 수 있는 정보를 제공하는 사람에게 1,000만 달러의 포상금을 제공하고 있다.