Shell ha avviato un'indagine su un potenziale incidente di sicurezza dopo che il gruppo ransomware Clop ha dichiarato di aver sottratto 89GB di dati sensibili, tra cui disegni ingegneristici e piani di progetto. L'attacco sfrutterebbe una vulnerabilità critica nei sistemi PTC Windchill e FlexPLM.
Shell, colosso energetico britannico tra i primi tre operatori mondiali nel settore petrolifero e del gas, ha confermato di essere impegnata in un'indagine su un possibile incidente di sicurezza. La decisione arriva dopo che il gruppo ransomware Clop ha pubblicamente rivendicato il furto di 89GB di dati, tra cui disegni ingegneristici, rapporti di test sugli impianti, fotografie e piani di progetto.
Un portavoce di Shell ha dichiarato a BleepingComputer: "Siamo a conoscenza di un potenziale incidente. Stiamo lavorando con i nostri team di sicurezza e con esperti esterni per indagare sull'accaduto". Al momento, l'azienda non ha fornito ulteriori dettagli, ma Clop ha inserito Shell tra le 43 nuove vittime di attacchi mirati a istanze PTC Windchill e FlexPLM esposte su Internet, sfruttando una vulnerabilità critica di validazione degli input (CVE-2026-12569).
La vulnerabilità CVE-2026-12569 e la catena di attacchi
Oltre a Shell, Clop sostiene di aver sottratto dati sensibili anche da General Electric e Philips, tra cui backup, file di sistema, progetti, disegni e diagrammi. I portavoce di GE e Philips non hanno rilasciato commenti, mentre PTC, produttore dei software coinvolti, non ha ancora risposto alle richieste di chiarimento.
PTC ha iniziato a distribuire patch di sicurezza per CVE-2026-12569 il 17 giugno, invitando i clienti a verificare la presenza di indicatori di compromissione nei propri ambienti. Dopo l'allerta di PTC su un "aumento dell'attività minacciosa" il 26 giugno, anche la CISA statunitense ha confermato lo sfruttamento attivo della falla, inserendola nel catalogo delle vulnerabilità note e ordinando alle agenzie federali di mettere in sicurezza i sistemi Windchill e FlexPLM entro tre giorni.
Impatto globale e reazioni delle autorità
L'emergenza ha coinvolto anche le autorità tedesche: la BSI ha emesso un avviso notturno ai clienti PTC per sollecitare l'installazione immediata delle patch. Gli attacchi sono stati confermati dal Ransomware Information Sharing and Analysis Centre (Ransom-ISAC) e dalla società di cybersecurity ReliaQuest, che ha rilevato l'uso di webshell JSP per l'esfiltrazione dei dati dai sistemi PLM compromessi.
PTC Windchill e FlexPLM sono piattaforme enterprise per la gestione del ciclo di vita del prodotto (PLM), utilizzate da oltre 30.000 clienti in tutto il mondo, tra cui più di 1.500 brand e retailer. Questi sistemi sono fondamentali per la progettazione, la produzione e la gestione della qualità in settori come aerospazio, difesa, automotive, macchinari pesanti, retail e medtech.
