Shell enquête sur la revendication de Cl0p concernant une fuite de données de 89 Go

Shell confirme une enquête sur la revendication de vol de données par Cl0p

Le géant de l'énergie Shell a confirmé qu'il enquêtait sur un incident de sécurité potentiel après que le groupe de ransomware Cl0p a affirmé avoir volé environ 89 Go de données à l'entreprise. La revendication fait partie d'une campagne beaucoup plus vaste dans laquelle Cl0p affirme avoir exfiltré des données de près de 50 organisations multinationales, notamment, selon les informations, Philips, GE Aerospace et Fiserv, en exploitant des vulnérabilités dans PTC Windchill, une plateforme de gestion du cycle de vie des produits largement utilisée.

Comme pour la plupart des incidents impliquant Cl0p, rien n'indique que les systèmes opérationnels de Shell aient été verrouillés ou qu'un chiffrement par ransomware ait été déployé. Au lieu de cela, le groupe semble avoir suivi son mode opératoire établi : accéder discrètement aux systèmes, exfiltrer des données, puis se manifester publiquement avec une menace plutôt qu'une perturbation technique. Shell n'a pas confirmé l'ampleur ou l'authenticité des données volées, et l'enquête est en cours.

Comment fonctionne le modèle d'extorsion de Cl0p

Contrairement à de nombreux opérateurs de ransomware qui chiffrent des fichiers et exigent un paiement en échange d'une clé de déchiffrement, Cl0p s'est de plus en plus tourné vers l'extorsion de données pure. Le groupe exfiltre des bases de données structurées et des fichiers non chiffrés, souvent en utilisant des web shells personnalisés installés après l'exploitation d'une vulnérabilité logicielle, puis contacte les victimes (ou publie leurs noms) en exigeant des paiements de plusieurs millions de dollars en échange de la non-publication des données volées.

Cette approche présente plusieurs avantages pour les attaquants. Elle évite l'étape bruyante et perturbatrice du chiffrement des systèmes, qui peut alerter rapidement les équipes de sécurité et déclencher une réponse immédiate aux incidents. Elle fait également porter toute la pression sur le risque réputationnel et réglementaire : la menace n'est pas « vos systèmes sont hors service », mais « vos données clients et partenaires seront publiées si vous ne payez pas ». Cette distinction est importante pour la manière dont les organisations détectent, répondent et divulguent ces incidents, car il peut n'y avoir aucune panne opérationnelle évidente pour signaler qu'un problème est survenu.

Ce schéma n'est pas propre à Shell. Des tactiques similaires d'extorsion en premier ont été utilisées dans l'enquête de Wesco sur une revendication de violation d'ExfilSquad, où le distributeur électrique a confirmé qu'il examinait une compromission présumée de ses systèmes, et dans le reportage de suivi selon lequel ExfilSquad a revendiqué 2,6 millions d'enregistrements CRM spécifiquement auprès de Wesco. Le modèle d'extorsion de masse a également été observé à grande échelle dans des incidents comme la campagne de vishing de ShinyHunters contre Charter Communications, qui a exposé environ 40 millions d'enregistrements clients. Dans tous ces cas, le fil conducteur est un groupe qui revendique d'abord le vol et laisse l'entreprise victime se démener pour vérifier et répondre.

Une campagne ciblant près de 50 entreprises

Ce qui distingue l'incident de Shell d'une violation d'entreprise unique typique, c'est l'ampleur de la campagne plus large. Cl0p aurait nommé près de 50 organisations dans plusieurs secteurs, liant les intrusions à l'exploitation de vulnérabilités dans le logiciel PTC Windchill. Si cela est exact, cela suggère une opération coordonnée et pilotée par les vulnérabilités plutôt qu'une série d'attaques opportunistes sans lien entre elles. Ce schéma est cohérent avec la manière dont Cl0p a opéré par le passé : identifier un logiciel d'entreprise largement déployé, exploiter une faille avant que les correctifs ne soient largement appliqués, et collecter des données auprès du plus grand nombre possible de clients avant de rendre les résultats publics.

Pour Shell, être nommé aux côtés de dizaines d'autres grandes entreprises bien dotées en ressources souligne un point plus large : aucune organisation, quelle que soit sa taille ou son budget de sécurité, n'est à l'abri lorsqu'une vulnérabilité de chaîne d'approvisionnement ou de logiciel tiers est impliquée. L'enquête n'en est qu'à ses débuts, et Shell n'a pas encore confirmé l'étendue complète de ce qui a été consulté, le cas échéant.

Ce que cela signifie pour vous

Si vous êtes un client, un partenaire ou un employé de Shell, il n'existe pas encore de preuve confirmée que des données personnelles aient été exposées, mais il vaut la peine de rester vigilant. Les violations par extorsion comme celle-ci impliquent souvent des dossiers commerciaux, des données de fournisseurs ou des informations sur les employés plutôt que des identifiants de comptes clients directs, bien que cela puisse changer au fur et à mesure que les enquêtes progressent. L'approche la plus sûre est de surveiller les communications officielles de Shell et de traiter avec suspicion les e-mails ou appels non sollicités mentionnant cet incident, car les nouvelles de violation sont fréquemment exploitées pour du hameçonnage.

Plus largement, cet incident rappelle que les violations de données ne ressemblent pas toujours à une entreprise « piratée » au sens traditionnel du terme. Lorsque les attaquants s'appuient sur l'extorsion plutôt que sur le chiffrement, le premier signe public d'un problème est souvent l'annonce du groupe criminel lui-même, et non une alerte interne de la victime.

Points à retenir concrets

Surveillez les communications officielles de Shell plutôt que de vous fier aux affirmations de tiers pour connaître les détails sur les données qui ont pu être affectées. Méfiez-vous des tentatives de hameçonnage qui font référence à cette violation, car les criminels profitent souvent d'incidents réels pour inciter les gens à cliquer sur des liens malveillants. Si vous travaillez avec ou utilisez des logiciels comme PTC Windchill, vérifiez rapidement les correctifs et avis de sécurité des fournisseurs, car les campagnes pilotées par les vulnérabilités comme celle-ci ont tendance à avancer rapidement une fois que les détails sont rendus publics. Enfin, envisagez d'utiliser des mots de passe forts et uniques et des services de surveillance si vous êtes informé que vos données faisaient partie d'une violation liée à cette campagne, car l'historique de Cl0p montre que ces revendications sont fréquemment suivies de fuites de données réelles lorsque les rançons ne sont pas payées.