Shell расследует «возможный инцидент» после заявлений Clop о краже 89 ГБ данных

Британская Shell — одна из трёх крупнейших нефтегазовых компаний мира наряду с Chevron и ExxonMobil — подтвердила, что расследует возможный инцидент в области информационной безопасности. Поводом стали заявления вымогательской группировки Clop, которая на своём сайте в даркнете сообщила о краже 89 ГБ данных компании.

«Нам известно о возможном инциденте. Мы работаем с нашими командами по безопасности и профильными экспертами, чтобы провести расследование», — сообщил представитель Shell изданию BleepingComputer. Больше подробностей компания пока не раскрывает.

По словам злоумышленников, среди похищенных файлов — инженерные чертежи, сканы отчётов об испытаниях объектов, фотографии предприятий и проектные планы. У Shell работает около 85 тысяч сотрудников более чем в 70 странах, а сеть её заправочных и зарядных станций ежедневно обслуживает свыше 20 миллионов клиентов.

Уязвимость в PLM-платформах PTC

Shell оказалась лишь одной из 43 новых жертв в списке Clop. Все они, судя по всему, стали целью атак на доступные из интернета экземпляры PTC Windchill и FlexPLM. Злоумышленники эксплуатировали критическую уязвимость некорректной проверки входных данных, получившую идентификатор CVE-2026-12569. В рамках той же кампании Clop заявила о краже резервных копий, системных файлов, проектов, чертежей и схем у технологических конгломератов General Electric и Philips.

PTC начала выпускать патчи для CVE-2026-12569 17 июня и, хотя не подтвердила факты эксплуатации в реальных атаках, разослала клиентам частное предупреждение с призывом проверить среды на признаки компрометации. После того как 26 июня компания сообщила о «повышенной активности угроз», американское агентство CISA подтвердило активную эксплуатацию уязвимости, внесло её в свой каталог известных эксплуатируемых уязвимостей и обязало федеральные ведомства защитить свои системы в течение трёх суток. Немецкое ведомство BSI подняло тревогу среди ночи, требуя от клиентов PTC как можно скорее установить обновления.

Атаки подтвердили и специалисты Ransom-ISAC, а также компания ReliaQuest, по данным которой злоумышленники разворачивали JSP-веб-шеллы для хищения данных из скомпрометированных PLM-платформ. Экспертами рекомендовано установить обновления, по возможности вынести системы за VPN или доверенные шлюзы, а при подозрении на компрометацию изолировать серверы, собрать криминалистические артефакты и сменить скомпрометированные учётные данные.

PTC Windchill и FlexPLM относятся к классу систем управления жизненным циклом продукции (PLM) и используются в аэрокосмической, оборонной, автомобильной отраслях, тяжёлом машиностроении, ритейле и медтехе. По данным PTC, её продуктами пользуются более 30 тысяч клиентов по всему миру.

Источник: Bleeping Computer