Взлом с использованием программы-вымогателя Clop затронул GE, Philips, Shell и десятки других компаний

Взлом с использованием программы-вымогателя Clop скомпрометировал более 50 организаций по всему миру, включая такие крупные компании, как GE, Philips и Shell. Согласно сообщению CPO Magazine, злоумышленники получили доступ через критическую уязвимость в программном обеспечении PTC Windchill и FlexPLM, отслеживаемую как CVE-2026-12569, и использовали её для кражи конфиденциальных корпоративных данных, включая чертежи продуктов. Это не масштабный инцидент, затрагивающий одну отрасль. Масштаб — более 50 компаний из различных секторов — показывает, как единственная уязвимость в широко используемом корпоративном программном обеспечении может привести к глобальной краже данных.

Что произошло: эксплуатация уязвимостей Windchill и FlexPLM

Windchill и FlexPLM — это платформы управления жизненным циклом продукта (PLM), разработанные компанией PTC. Крупные производители, инженерные фирмы и промышленные компании полагаются на эти системы для управления файлами проектирования, спецификациями продуктов и, во многих случаях, техническими чертежами. Это делает их особенно привлекательной целью для такой группы, как Clop, которая построила свою репутацию на массовой эксплуатации уязвимостей корпоративного программного обеспечения с последующей кражей данных и вымогательством, а не на традиционном шифровании файлов.

Атака, описанная CPO Magazine, следует схеме, которую эта группа использовала ранее. Как упоминалось в нашем предыдущем отчёте о кампании Clop против систем PTC Windchill и FlexPLM, группа нацелилась на доступные через интернет экземпляры этого корпоративного программного обеспечения в рамках кампании по краже данных с последующим вымогательством. Вместо того чтобы блокировать системы с помощью программы-вымогателя в классическом смысле, Clop, судя по всему, сосредоточен на краже ценных данных в первую очередь, а затем оказывает давление на жертв угрозой публичного раскрытия. Присутствие GE, Philips и Shell в списке пострадавших организаций подчёркивает, что эта кампания затронула крупные, хорошо обеспеченные ресурсами предприятия, а не только небольшие компании с ограниченными бюджетами на безопасность.

Почему это продолжает происходить с крупными компаниями

Стоит задаться вопросом, почему организации со значительными ресурсами в области кибербезопасности продолжают становиться жертвами таких кампаний. Ответ обычно сводится к цепочке поставок программного обеспечения. Компании могут вкладывать значительные средства в защиту собственных сетей, но если они используют стороннее программное обеспечение с неисправленной или недавно раскрытой уязвимостью, эти инвестиции не обеспечивают полной защиты. Как только такая уязвимость, как CVE-2026-12569, становится известной и эксплуатируемой, злоумышленники могут сканировать интернет на предмет доступных экземпляров и наносить удар быстро, часто быстрее, чем организации успевают установить исправления во всех своих системах.

Это усугубляется тем фактом, что PLM-системы, такие как Windchill и FlexPLM, часто находятся глубоко внутри инженерных и производственных процессов, храня годы накопленных данных проектирования. Эти данные имеют реальную ценность не только для конкурентов, но и для тех, кто ищет рычаги давления в схеме вымогательства. Когда уязвимость затрагивает программное обеспечение, используемое одновременно в десятках крупных предприятий, результат именно тот, который мы наблюдаем здесь: скоординированная волна взломов, связанных с единой первопричиной.

Боковая панель: Могут ли ваши данные быть затронуты?

Если вы являетесь клиентом, партнёром или сотрудником компании, использующей Windchill или FlexPLM, не существует простого публичного инструмента для проверки индивидуального воздействия, поскольку это взлом корпоративного программного обеспечения, а не утечка потребительских данных с поисковой базой. Наиболее надёжные шаги — следить за прямыми уведомлениями от пострадавших организаций, изучать официальные заявления компаний, с которыми вы ведёте дела, и обращать внимание на то, раскрыли ли ваш работодатель или поставщики использование этих платформ. Если вы работаете в сфере инженерии, производства или проектирования продуктов, где данные чертежей могли храниться в этих системах, разумно напрямую обратиться к вашему ИТ-отделу или отделу безопасности с вопросом, была ли ваша организация затронута.

Что это значит для вас

Большинство читателей не работают в GE, Philips или Shell, но этот инцидент всё равно важен не только для упомянутых компаний. Во-первых, это напоминание о том, что уязвимости корпоративного программного обеспечения могут подвергать риску цепочки поставок, то есть небольшие партнёры, поставщики и подрядчики, связанные с пострадавшими компаниями, также могут находиться под косвенным риском. Во-вторых, для ИТ-администраторов и владельцев малого бизнеса, использующих любые PLM-системы или аналогичное корпоративное программное обеспечение с доступом через интернет, это чёткий сигнал проверить наличие доступных исправлений, связанных с CVE-2026-12569, и пересмотреть, должны ли эти системы вообще быть доступны через интернет. Ограничение доступа с помощью сегментации сети или требование VPN-доступа для административных интерфейсов значительно снижает поверхность атаки, которую сканируют такие группы, как Clop.

Практические выводы

Если ваша организация использует PTC Windchill или FlexPLM, немедленно примите меры по установке исправлений против CVE-2026-12569 и проведите аудит на предмет того, не являются ли эти экземпляры излишне доступными из публичного интернета. Где возможно, разместите административный доступ за VPN или другими средствами сегментации сети, а не оставляйте интерфейсы управления открытыми. Лица, связанные с любой из упомянутых компаний, будь то сотрудники, подрядчики или деловые партнёры, должны следить за официальными уведомлениями о взломе и избегать перехода по непрошеным ссылкам, ссылающимся на инцидент, поскольку злоумышленники часто используют громкие взломы для фишинга. Взлом с использованием программы-вымогателя Clop — это яркое напоминание о том, что управление исправлениями и снижение излишнего интернет-доступа остаются двумя наиболее эффективными средствами защиты от кампаний массовой эксплуатации.