اختراق فدية كلوب يضرب جنرال إلكتريك وفيليبس وشل وعشرات الشركات الأخرى
اختراق فدية كلوب (Clop) عرّض أكثر من 50 منظمة حول العالم للخطر، بما في ذلك أسماء كبرى مثل جنرال إلكتريك وفيليبس وشل. وفقًا لتقرير من CPO Magazine، تمكن المهاجمون من الوصول عبر ثغرة حرجة في برنامجي Windchill وFlexPLM من PTC، والتي تُعرف باسم CVE-2026-12569، واستخدموها لسرقة بيانات شركات حساسة، بما في ذلك المخططات الهندسية للمنتجات. هذه ليست حادثة صغيرة النطاق تؤثر على صناعة واحدة. فالنطاق، الذي يتجاوز 50 شركة عبر قطاعات متعددة، يُظهر كيف يمكن لثغرة واحدة في برمجيات مؤسسية واسعة الاستخدام أن تمتد إلى حدث عالمي لسرقة البيانات.
ما الذي حدث: استغلال ثغرة Windchill وFlexPLM
Windchill وFlexPLM هما منصتان لإدارة دورة حياة المنتج (PLM) طورتهما شركة PTC. تعتمد الشركات المصنعة الكبرى وشركات الهندسة والمؤسسات الصناعية على هذه الأنظمة لإدارة ملفات التصميم ومواصفات المنتجات، وفي كثير من الحالات، المخططات الهندسية الفنية. وهذا يجعلها هدفًا جذابًا بشكل خاص لمجموعة مثل كلوب، التي بنت سمعتها على الاستغلال الواسع النطاق لثغرات البرمجيات المؤسسية يليه سرقة البيانات والابتزاز بدلاً من تشفير الملفات التقليدي.
الهجوم الذي فصّله CPO Magazine يتبع نمطًا استخدمته هذه المجموعة من قبل. كما غطينا في تقريرنا السابق عن حملة كلوب ضد أنظمة PTC Windchill وFlexPLM، استهدفت المجموعة النسخ المكشوفة على الإنترنت من هذه البرمجيات المؤسسية كجزء من حملة ابتزاز بسرقة البيانات. وبدلاً من قفل الأنظمة بفدية بالمعنى التقليدي، يبدو أن كلوب تركز على استخراج البيانات القيمة أولاً، ثم الضغط على الضحايا بتهديد الكشف العلني. إن وجود جنرال إلكتريك وفيليبس وشل على قائمة المنظمات المتضررة يؤكد أن هذه الحملة وصلت إلى مؤسسات كبيرة وذات موارد وفيرة، وليس فقط شركات أصغر بميزانيات أمنية محدودة.
لماذا يحدث هذا مرارًا للشركات الكبرى
من الجدير التساؤل لماذا تستمر المنظمات التي تمتلك موارد أمن سيبراني كبيرة في الوقوع ضحية لهذه الحملات. الإجابة عادةً تعود إلى سلسلة توريد البرمجيات. يمكن للشركات أن تستثمر بكثافة في تأمين شبكاتها الخاصة، لكن إذا كانت تشغّل برمجيات تابعة لجهات خارجية بثغرة غير مصححة أو مكتشفة حديثًا، فإن هذا الاستثمار لا يحميها بالكامل. بمجرد أن تصبح ثغرة مثل CVE-2026-12569 معروفة وقابلة للاستغلال، يمكن للمهاجمين مسح الإنترنت بحثًا عن نسخ مكشوفة وضربها بسرعة، غالبًا أسرع مما يمكن للمنظمات تصحيحه عبر جميع النشرات.
ويتفاقم هذا بسبب حقيقة أن أنظمة PLM مثل Windchill وFlexPLM غالبًا ما تقع في عمق سير عمل الهندسة والتصنيع، وتخزن سنوات من بيانات التصميم المتراكمة. هذه البيانات لها قيمة حقيقية، ليس فقط للمنافسين ولكن لأي شخص يبحث عن نفوذ في مخطط ابتزاز. عندما تؤثر ثغرة على برمجيات مستخدمة عبر عشرات المؤسسات الكبرى في وقت واحد، تكون النتيجة بالضبط ما نراه هنا: موجة منسقة من الاختراقات مرتبطة بجذر واحد.
شريط جانبي: هل يمكن أن تكون بياناتك متأثرة؟
إذا كنت عميلاً أو شريكًا أو موظفًا في شركة تستخدم Windchill أو FlexPLM، فلا توجد أداة بحث عامة بسيطة للتحقق من التعرض الفردي، لأن هذا اختراق برمجيات مؤسسية وليس تسريب بيانات مستهلكين بقاعدة بيانات قابلة للبحث. الخطوات الأكثر موثوقية هي مراقبة الإشعارات المباشرة من أي من المنظمات المتضررة، ومراجعة البيانات الرسمية من الشركات التي تتعامل معها، والانتباه إلى ما إذا كان صاحب العمل أو الموردون قد كشفوا عن استخدامهم لهذه المنصات. إذا كنت تعمل في أدوار هندسية أو تصنيعية أو تصميم منتجات حيث قد تكون بيانات المخططات مخزنة في هذه الأنظمة، فمن المعقول أن تسأل فريق تكنولوجيا المعلومات أو الأمن لديك مباشرةً ما إذا كانت مؤسستك متأثرة.
ما الذي يعنيه هذا بالنسبة لك
معظم القراء لن يعملوا في جنرال إلكتريك أو فيليبس أو شل، لكن هذه الحادثة ما زالت مهمة أبعد من الشركات المذكورة. أولاً، إنها تذكير بأن ثغرات البرمجيات المؤسسية يمكن أن تعرّض سلاسل التوريد للخطر، مما يعني أن الشركاء الأصغر والموردين والمقاولين المرتبطين بالشركات المتضررة قد يكونون أيضًا في خطر غير مباشر. ثانيًا، لمسؤولي تكنولوجيا المعلومات وأصحاب الشركات الصغيرة الذين يشغّلون أي برمجيات مؤسسية PLM أو ما شابه ذلك مواجهةً للإنترنت، هذه إشارة واضحة للتحقق من التصحيحات المتاحة المتعلقة بـ CVE-2026-12569 ومراجعة ما إذا كانت هذه الأنظمة بحاجة إلى أن تكون قابلة للوصول عبر الإنترنت من الأساس. تقييد الوصول من خلال تجزئة الشبكة أو طلب الوصول عبر VPN للواجهات الإدارية يقلل بشكل كبير من سطح الهجوم الذي تبحث عنه مجموعات مثل كلوب.
خلاصة قابلة للتنفيذ
إذا كانت مؤسستك تستخدم PTC Windchill أو FlexPLM، فأعطِ الأولوية لتصحيح CVE-2026-12569 فورًا ودقق ما إذا كانت هذه النسخ مكشوفة على الإنترنت العام دون داعٍ. حيثما أمكن، ضع الوصول الإداري خلف VPN أو ضوابط تجزئة شبكة أخرى بدلاً من ترك الواجهات الإدارية مفتوحة. الأفراد المرتبطون بأي من الشركات المذكورة، سواء كموظفين أو مقاولين أو شركاء أعمال، يجب أن يراقبوا الإشعارات الرسمية للاختراق ويتجنبوا النقر على الروابط غير المرغوب فيها التي تشير إلى الحادثة، لأن المهاجمين غالبًا ما يستغلون الاختراقات البارزة للتصيد الاحتيالي. اختراق فدية كلوب هو تذكير قوي بأن إدارة التصحيحات وتقليل التعرض غير الضروري للإنترنت يظلان من أكثر الدفاعات فعالية ضد حملات الاستغلال الجماعي.
