Shell bevestigt onderzoek naar Cl0p-diefstalclaim

Energiegigant Shell heeft bevestigd dat het een mogelijke beveiligingsincident onderzoekt nadat de Cl0p-ransomwaregroep beweerde ongeveer 89GB aan gegevens van het bedrijf te hebben gestolen. De claim maakt deel uit van een veel grotere campagne waarbij Cl0p zegt gegevens te hebben buitgemaakt van bijna 50 multinationale organisaties, naar verluidt waaronder Philips, GE Aerospace en Fiserv, door kwetsbaarheden in PTC Windchill, een veelgebruikt productlevenscyclusbeheerplatform, te misbruiken.

Zoals bij de meeste incidenten met Cl0p is er geen aanwijzing dat de operationele systemen van Shell zijn vergrendeld of dat ransomware-codering is ingezet. In plaats daarvan lijkt de groep zijn gevestigde werkwijze te hebben gevolgd: stilletjes toegang krijgen tot systemen, gegevens exfiltreren en vervolgens publiekelijk naar buiten treden met een dreiging in plaats van een technische verstoring. Shell heeft de omvang of authenticiteit van de gestolen gegevens niet bevestigd en het onderzoek is nog gaande.

Hoe het afpersingsmodel van Cl0p werkt

In tegenstelling tot veel ransomware-operators die bestanden versleutelen en betaling eisen voor een decoderingssleutel, leunt Cl0p steeds meer op pure data-afpersing. De groep exfiltreert gestructureerde databases en onversleutelde bestanden, vaak met behulp van aangepaste webshells die zijn geplaatst na het misbruiken van een softwarekwetsbaarheid, en neemt vervolgens contact op met slachtoffers (of publiceert hun namen) met de eis van miljoenenbetalingen in ruil voor het niet vrijgeven van het gestolen materiaal.

Deze aanpak heeft verschillende voordelen voor aanvallers. Het slaat de lawaaierige, verstorende stap van het versleutelen van systemen over, die beveiligingsteams snel kan waarschuwen en onmiddellijke incidentrespons kan triggeren. Het verplaatst de druk ook volledig naar reputatie- en regelgevingsrisico: de dreiging is niet "je systemen liggen plat", maar "je klant- en partnergegevens worden gepubliceerd tenzij je betaalt." Dat onderscheid is belangrijk voor hoe organisaties deze incidenten detecteren, erop reageren en ze openbaar maken, aangezien er mogelijk geen duidelijke operationele uitval is die aangeeft dat er iets mis is gegaan.

Dit patroon is niet uniek voor Shell. Vergelijkbare afpersing-eerst-tactieken werden gebruikt in het Wesco-onderzoek naar een datalekclaim van ExfilSquad, waarbij de elektronicadistributeur bevestigde dat het een vermeende compromittering van zijn systemen onderzocht, en in de vervolgrapportage dat ExfilSquad 2,6 miljoen CRM-records claimde van Wesco in het bijzonder. Het massale-afpersingsmodel is ook op grote schaal verschenen bij incidenten zoals de ShinyHunters-vishingcampagne tegen Charter Communications, die ongeveer 40 miljoen klantgegevens blootlegde. In al deze gevallen is de gemeenschappelijke draad een groep die eerst diefstal claimt en het victim-bedrijf laat worstelen om te verifiëren en te reageren.

Een campagne gericht op bijna 50 bedrijven

Wat het Shell-incident onderscheidt van een typisch datalek bij één bedrijf, is de omvang van de bredere campagne. Cl0p heeft naar verluidt bijna 50 organisaties in meerdere sectoren genoemd, waarbij de inbraken worden gekoppeld aan het misbruiken van kwetsbaarheden in PTC Windchill-software. Als dit klopt, suggereert dit een gecoördineerde, kwetsbaarheid-gestuurde sweep in plaats van een reeks losstaande, opportunistische aanvallen. Dat patroon is consistent met hoe Cl0p in het verleden heeft geopereerd: een breed ingezet enterprise-softwareproduct identificeren, een fout misbruiken voordat patches op grote schaal zijn toegepast, en gegevens verzamelen van zoveel mogelijk klanten voordat ze met de resultaten naar buiten treden.

Voor Shell onderstreept het genoemd worden naast tientallen andere grote, goed bemiddelde bedrijven een breder punt: de grootte of het beveiligingsbudget van geen enkele organisatie maakt haar immuun wanneer een supply chain- of third-party-softwarekwetsbaarheid in het spel is. Het onderzoek bevindt zich nog in een vroeg stadium en Shell heeft nog niet de volledige omvang bevestigd van wat, als er al iets is, is geopend.

Wat dit voor jou betekent

Als je een klant, partner of medewerker van Shell bent, is er nog geen bevestigd bewijs dat persoonlijke gegevens zijn blootgesteld, maar het is verstandig om alert te blijven. Afpersingsgerichte datalekken zoals deze betreffen vaak bedrijfsgegevens, leveranciersgegevens of personeelsinformatie in plaats van directe inloggegevens van consumentenaccounts, hoewel dat kan veranderen naarmate onderzoeken vorderen. De veiligste aanpak is om te letten op officiële communicatie van Shell en ongevraagde e-mails of telefoontjes die naar dit incident verwijzen met argwaan te behandelen, aangezien dataleknieuws vaak wordt misbruikt voor phishing.

In bredere zin is dit incident een herinnering dat datalekken er niet altijd uitzien als een bedrijf dat op de traditionele manier wordt "gehackt". Wanneer aanvallers vertrouwen op afpersing in plaats van versleuteling, is het eerste publieke teken van een probleem vaak de aankondiging van de criminele groep zelf, niet een interne waarschuwing van het slachtoffer.

Praktische aanbevelingen

Houd officiële Shell-communicatie in de gaten in plaats van te vertrouwen op claims van derden voor details over welke gegevens mogelijk zijn getroffen. Wees voorzichtig met phishingpogingen die naar dit datalek verwijzen, aangezien criminelen vaak meeliften op echte incidenten om mensen te misleiden tot het klikken op kwaadaardige links. Als je werkt met of software gebruikt zoals PTC Windchill, controleer dan tijdig op leverancierspatches en beveiligingsadviezen, aangezien kwetsbaarheid-gestuurde campagnes zoals deze de neiging hebben zich snel te verspreiden zodra details openbaar worden. Overweeg ten slotte het gebruik van sterke, unieke wachtwoorden en monitoringdiensten als je wordt geïnformeerd dat je gegevens deel uitmaakten van een datalek dat aan deze campagne is gekoppeld, aangezien de geschiedenis van Cl0p laat zien dat deze claims vaak worden gevolgd door echte datalekken wanneer losgeld onbetaald blijft.