As empresas General Electric (GE) e Philips iniciaram investigações sobre as alegações da gangue de ransomware Clop de que invadiu seus sistemas e roubou dados, em um acontecimento que faz parte de uma campanha mais ampla contra organizações que utilizam as plataformas PTC Windchill e PTC FlexPLM para o gerenciamento do ciclo de vida dos produtos.
Um porta-voz da GE afirmou que a empresa está ciente da alegação e trabalha para avaliar o possível problema. A Philips, por sua vez, confirmou que seus sistemas foram invadidos, explicando que o incidente se limitou a uma tentativa de invasão de um servidor corporativo específico associado a dados internos e que foi contido, sem afetar os ambientes dos clientes. Até a publicação do relatório, em 17 de agosto de 2026, nenhuma das duas empresas forneceu detalhes adicionais ou respondeu às perguntas do BleepingComputer para confirmar as alegações da Clop.
Alegações fazem parte de uma campanha contra plataformas de gerenciamento de produtos
A Clop incluiu as três empresas, GE, Philips e a petrolífera Shell, em uma lista com 43 novas vítimas em seu site de vazamentos. Os relatos indicam que esses ataques foram realizados por meio da exploração de uma vulnerabilidade crítica de validação de entrada, identificada como CVE-2026-12569, em versões do Windchill e do FlexPLM expostas à internet.
A Clop afirmou ter roubado dos sistemas das empresas uma ampla variedade de dados, incluindo backups, planos de projetos, imagens de instalações, desenhos, diagramas e especificações de engenharia. A gangue também alegou que a Shell perdeu 89 gigabytes de dados, mas as empresas ainda não divulgaram informações suficientes para verificar o volume ou a natureza dos dados.
A Shell havia confirmado anteriormente que estava ciente de um possível incidente e que trabalhava com as equipes de segurança e os especialistas envolvidos para investigá-lo.
Por que esse acontecimento é importante para os clientes da PTC?
A importância do incidente está na ampla base de usuários das duas plataformas; a PTC afirma que seus produtos são utilizados por mais de 30 mil clientes em todo o mundo, incluindo mais de 1.500 clientes de empresas de marcas e do varejo por meio do FlexPLM. Os setores potencialmente afetados incluem aviação e defesa, automotivo, máquinas pesadas, varejo e tecnologias médicas, o que torna os dados armazenados nesses sistemas altamente valiosos do ponto de vista operacional e de engenharia.
A PTC começou a disponibilizar correções para a vulnerabilidade em 17 de junho e orientou os clientes a revisar seus ambientes em busca de indicadores de comprometimento em uma orientação específica, embora na época não houvesse confirmação de sua exploração prática. Posteriormente, a ReliaQuest e o Centro de Compartilhamento de Informações sobre Ransomware Ransom-ISAC confirmaram ataques da Clop contra o Windchill e o FlexPLM, que incluíram a implantação de ferramentas de controle do tipo JSP webshell para roubar dados sensíveis.
Resposta das autoridades de segurança
A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos, CISA, confirmou que a vulnerabilidade está sendo explorada ativamente. Após a PTC alertar sobre o aumento da atividade de ameaças em 26 de junho, a agência adicionou a vulnerabilidade ao catálogo de vulnerabilidades exploradas conhecidas e obrigou as agências federais a proteger as instâncias do Windchill e do FlexPLM no prazo de três dias. A Autoridade Federal Alemã de Segurança da Informação, BSI, também alertou os clientes sobre o risco e recomendou a instalação das correções o mais rápido possível.
A campanha segue um padrão recorrente da Clop de atacar plataformas corporativas e roubar dados, após campanhas anteriores que atingiram Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo e MOVEit Transfer, quando a campanha do MOVEit afetou mais de 2.770 organizações em todo o mundo. Desde o início de agosto de 2025, a gangue também explorou uma vulnerabilidade zero-day não divulgada no Oracle EBS, enquanto o Departamento de Estado dos Estados Unidos oferece uma recompensa de 10 milhões de dólares por informações que relacionem os ataques da gangue a um governo estrangeiro.