Cosa ha davvero sottratto Clop

Le affermazioni di Clop di metà agosto hanno citato Shell, Philips, General Electric e Fiserv tra quasi 50 aziende che, secondo il gruppo, sono state colpite tramite PTC Windchill e FlexPLM, il software di gestione del ciclo di vita del prodotto che molti produttori usano per gestire progetti CAD, distinte base e documentazione di collaudo di stabilimento. Shell ha confermato soltanto di essere 'consapevole di un potenziale incidente' e di indagare con team di sicurezza interni ed esterni, dopo che Clop ha affermato di aver sottratto circa 89 GB dall'azienda, descritti come disegni tecnici, scansioni di rapporti di collaudo di stabilimento, fotografie di impianti e piani di progetto.

Philips ha dichiarato che Clop ha tentato di violare un server aziendale contenente dati interni, che il tentativo è stato rilevato e contenuto, e che gli ambienti dei clienti non sono stati colpiti. Fiserv ha dichiarato che la propria indagine non ha trovato prove che dati di clienti, informazioni bancarie, dati di transazione o informazioni personali siano stati compromessi. Reuters, riferendo sulla campagna più ampia, ha dichiarato di non poter verificare in modo indipendente la portata o il volume di ciò che Clop ha effettivamente esfiltrato, una riserva che vale per ogni cifra di questa storia che proviene dal gruppo estorsore stesso e non dalle vittime o da una revisione forense indipendente.

Una patch che ha avuto due mesi per funzionare

CVE-2026-12569 è una falla critica di esecuzione di codice remoto non autenticata che colpisce PTC Windchill e FlexPLM, con un punteggio CVSS di 9,3. PTC ha iniziato a rilasciare patch verso metà giugno 2026. La CISA ha aggiunto la falla al proprio catalogo delle vulnerabilità sfruttate note intorno al 25 giugno, fissando una scadenza di correzione al 28 giugno per le agenzie federali statunitensi e confermando che lo sfruttamento era già in corso. La stessa PTC ha avvertito i clienti di un'attività di minaccia elevata nei giorni successivi, e i ricercatori di sicurezza hanno riferito di web shell JSP installate su server Windchill non corretti entro fine giugno.

I resoconti descrivono le organizzazioni colpite come aver iniziato a ricevere messaggi di estorsione da Clop tra metà e fine luglio, circa un mese dopo la patch e l'inserimento nel catalogo KEV. La divulgazione di massa che ha citato Shell, Philips, GE e Fiserv è diventata pubblica solo a metà agosto, quasi due mesi dopo che la correzione di PTC era disponibile e che era trascorsa la stessa scadenza della CISA per le agenzie federali. Il divario tra la disponibilità di una patch e il fatto che uno sfruttamento di massa diventi di dominio pubblico è la forma consueta di una campagna Clop, lo stesso gruppo dietro le ondate di massa di MOVEit e GoAnywhere, ma la categoria bersaglio qui è nuova: non software di trasferimento file, ma i sistemi che custodiscono i progetti di prodotto reali di un produttore.

Il vuoto di notifica in cui questo ricade

Una violazione di registri di clienti fa scattare un riflesso di conformità ben noto: controllare l'orologio delle 72 ore del GDPR, valutare se erano coinvolti dati personali, notificare l'autorità di protezione dei dati competente. Una violazione di disegni tecnici, rapporti di collaudo di stabilimento e piani di progetto non fa scattare nulla di tutto ciò, perché nulla di questo è dato personale ai sensi della definizione del GDPR. È proprio questo che rende questa classe di incidenti facile da sottovalutare all'interno della mappatura di conformità di un produttore.

La direttiva NIS2 dell'UE funziona con un innesco diverso: obbliga i soggetti essenziali e importanti - una categoria che include esplicitamente operatori energetici come Shell e produttori del settore sanitario come Philips - a notificare gli incidenti significativi indipendentemente dal fatto che siano coinvolti dati personali. Una violazione PLM che non tocca mai un solo registro di cliente può comunque raggiungere la soglia NIS2 per un incidente notificabile se colpisce la riservatezza, l'integrità o la disponibilità di sistemi da cui il soggetto dipende. Un team di conformità che abbia costruito la propria logica di notifica degli incidenti solo attorno agli inneschi del GDPR ha una reale possibilità di ignorare del tutto questo obbligo, non perché la norma sia poco chiara, ma perché l'incidente non somiglia al tipo di violazione per cui il GDPR ha addestrato tutti a stare in allerta.

Cosa dovrebbero verificare ora i produttori

Qualsiasi organizzazione che utilizzi PTC Windchill o FlexPLM dovrebbe confermare, indipendentemente dal fatto che abbia avuto notizie da Clop, che le patch di giugno siano installate, e rivedere i log della finestra tra la divulgazione iniziale e la patch alla ricerca degli indicatori di web shell JSP pubblicati dai ricercatori di sicurezza. Questa verifica conta indipendentemente dalle dimensioni dell'azienda: le campagne di Clop hanno storicamente funzionato tramite scansione opportunistica di istanze esposte a internet, non tramite selezione mirata di nomi celebri.

La seconda verifica è organizzativa, non tecnica: il vostro protocollo di risposta agli incidenti e notifica normativa include un innesco per la notifica degli incidenti significativi NIS2 che non dipenda dal coinvolgimento di dati personali? Se la risposta copre solo il GDPR, una violazione PLM esattamente come questa potrebbe attraversare il vostro stesso processo di conformità senza mai far scattare un allarme, fino a quando una controparte o un'autorità di vigilanza non chiederà perché non è stata notificata.

Da leggere ora: La moratoria NIS2 tedesca è finita  |  361 Server vCenter Colpiti Prima della Lista KEV