Компания Shell подтвердила, что расследует возможный инцидент безопасности после заявления вымогательской группы Clop о краже 89 гигабайт данных компании. Shell не подтвердила факт кражи данных, но заявила, что работает с соответствующими специалистами по безопасности и экспертами для расследования заявления.
Представитель Shell сообщил сайту BleepingComputer: Мы осведомлены о возможном инциденте и работаем с соответствующими специалистами по безопасности и экспертами для его расследования. Компания пока не предоставила дополнительной информации о характере инцидента или данных, к которым, возможно, был получен доступ или которые могли быть украдены.
Данные, которые, по утверждению Clop, были украдены
Clop добавила Shell на свой сайт утечек данных в даркнете и заявила, что украденные файлы включают инженерные чертежи, отсканированные копии отчетов об испытаниях объектов, фотографии объектов и планы проектов.
Shell — британская многонациональная энергетическая группа, в которой работают 85 тысяч человек более чем в 70 странах. Согласно информации, приведенной в отчете, компания также управляет широкой сетью сервисных станций и зарядных станций, обслуживающей более 20 миллионов клиентов ежедневно.
Связь атаки с уязвимостью в платформах PTC
Shell была включена в список из 43 новых жертв, которые, предположительно, подверглись атакам с кражей данных, использовавшим доступные из интернета экземпляры платформ PTC Windchill и PTC FlexPLM. В атаках использовалась критическая уязвимость проверки входных данных с идентификатором CVE-2026-12569.
Платформы Windchill и FlexPLM используются для управления жизненным циклом продукции, включая отслеживание, проектирование и управление продуктами вплоть до этапа окончательного производства. Эти платформы широко распространены среди инженерных, производственных команд, команд контроля качества и управления цепочками поставок в аэрокосмической и оборонной промышленности, автомобильной отрасли, тяжелом машиностроении, розничной торговле и медицинских технологиях. PTC заявляет, что ее продукты используются более чем 30 тысячами клиентов по всему миру, включая более 1500 брендов и клиентов в сфере розничной торговли, использующих FlexPLM.
Предупреждения и исправления безопасности
PTC начала выпускать исправления для уязвимости 17 июня, а также опубликовала специальное руководство для клиентов, призвав их проверить свои среды на наличие признаков компрометации, хотя на тот момент компания не подтверждала фактическую эксплуатацию уязвимости.
После того как 26 июня PTC предупредила об усилении активности угроз, Агентство США по кибербезопасности и защите инфраструктуры (CISA) подтвердило, что уязвимость фактически используется в атаках, и добавило ее в каталог известных эксплуатируемых уязвимостей, потребовав от федеральных ведомств защитить имеющиеся у них экземпляры Windchill и FlexPLM в течение трех дней. Федеральное ведомство Германии по информационной безопасности (BSI) также предупредило клиентов PTC об уязвимости и призвало их как можно скорее установить обновления.
Центр Ransom-ISAC, специализирующийся на отслеживании угроз программ-вымогателей и защите от них, а также компания по кибербезопасности ReliaQuest подтвердили факт атак Clop, связанных с этими платформами. ReliaQuest заявила, что злоумышленники разместили JSP-webshell, позволяющие им красть конфиденциальные данные из скомпрометированных платформ управления жизненным циклом продукции.
Clop также заявила о краже конфиденциальных данных, включая резервные копии, системные файлы, проекты, чертежи и схемы, из сетей General Electric и Philips. На момент подготовки отчета представители обеих компаний, а также представитель PTC, еще не ответили на запросы о комментариях.