A Shell confirmou que está investigando um possível incidente de segurança depois que o grupo de ransomware Clop alegou ter roubado 89 gigabytes de dados da empresa. A Shell não confirmou a ocorrência do roubo de dados, mas afirmou que está trabalhando com as equipes de segurança e os especialistas pertinentes para investigar a alegação.
Um porta-voz da Shell disse ao site BleepingComputer: Estamos cientes de um possível incidente e estamos trabalhando com as equipes de segurança e os especialistas pertinentes para investigar. A empresa ainda não forneceu informações adicionais sobre a natureza do incidente ou sobre os dados que podem ter sido acessados ou roubados.
Os dados que a Clop alega ter roubado
A Clop listou a Shell em seu site de vazamento de dados na dark web e afirmou que os arquivos roubados incluem desenhos de engenharia, cópias digitalizadas de relatórios de testes de instalações, imagens de instalações e planos de projetos.
A Shell é um grupo energético multinacional britânico que emprega 85 mil pessoas em mais de 70 países. A empresa também opera uma ampla rede de postos de serviço e recarga que atende mais de 20 milhões de clientes diariamente, segundo as informações apresentadas no relatório.
Relação do ataque com uma vulnerabilidade nas plataformas da PTC
A inclusão da Shell ocorreu em uma lista com 43 novas vítimas que provavelmente foram alvo de ataques de roubo de dados que exploraram instâncias expostas à internet das plataformas PTC Windchill e PTC FlexPLM. Os ataques exploraram uma vulnerabilidade crítica na validação de entradas, identificada como CVE-2026-12569.
As plataformas Windchill e FlexPLM são usadas para gerenciar o ciclo de vida dos produtos, incluindo o rastreamento, o design e o gerenciamento dos produtos até a etapa de fabricação final. As duas plataformas são amplamente utilizadas por equipes de engenharia, manufatura, qualidade e cadeia de suprimentos nos setores aeroespacial e de defesa, automotivo, de equipamentos pesados, varejo e tecnologias médicas. A PTC afirma que seus produtos são usados por mais de 30 mil clientes no mundo todo, incluindo mais de 1.500 marcas e clientes do setor varejista que utilizam o FlexPLM.
Alertas e correções de segurança
A PTC começou a lançar correções para a vulnerabilidade em 17 de junho e também emitiu uma orientação específica aos clientes, instando-os a verificar seus ambientes em busca de indícios de comprometimento, embora na época não tivesse confirmado a exploração efetiva da vulnerabilidade.
Depois que a PTC alertou, em 26 de junho, sobre o aumento da atividade de ameaças, a Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) confirmou que a vulnerabilidade estava sendo explorada ativamente em ataques e a adicionou ao catálogo de vulnerabilidades exploradas conhecidas, exigindo que as agências federais protegessem suas instâncias do Windchill e do FlexPLM no prazo de três dias. O Escritório Federal Alemão para a Segurança da Informação (BSI) também alertou os clientes da PTC sobre a vulnerabilidade e os instou a instalar as atualizações o mais rápido possível.
O Ransom-ISAC, especializado no rastreamento e na defesa contra ameaças de ransomware, e a empresa de cibersegurança ReliaQuest confirmaram a ocorrência de ataques da Clop relacionados às duas plataformas. A ReliaQuest afirmou que os invasores implantaram arquivos JSP webshell que lhes permitiam roubar dados sensíveis das plataformas comprometidas de gerenciamento do ciclo de vida dos produtos.
A Clop também alegou ter roubado dados sensíveis, incluindo backups, arquivos de sistemas e de projetos, desenhos e diagramas, das redes da General Electric e da Philips. Os porta-vozes das duas empresas, assim como um porta-voz da PTC, ainda não haviam respondido imediatamente aos pedidos de comentário no momento da elaboração do relatório.