Wat Clop daadwerkelijk buitmaakte

De beweringen van Clop van medio augustus noemden Shell, Philips, General Electric en Fiserv onder bijna 50 bedrijven die volgens de groep werden geraakt via PTC Windchill en FlexPLM, de product-lifecyclemanagementsoftware die veel fabrikanten gebruiken om CAD-ontwerpen, stuklijsten en documentatie van fabriekstests te beheren. Shell bevestigde alleen 'zich bewust te zijn van een mogelijk incident' en dit te onderzoeken met interne en externe beveiligingsteams, nadat Clop beweerde ongeveer 89 GB bij het bedrijf te hebben buitgemaakt, omschreven als technische tekeningen, gescande testrapporten van installaties, foto's van faciliteiten en projectplannen.

Philips zei dat Clop probeerde een bedrijfsserver met interne gegevens te compromitteren, dat de poging werd gedetecteerd en ingedamd, en dat klantomgevingen niet werden geraakt. Fiserv zei dat het eigen onderzoek geen bewijs vond dat klantgegevens, bankinformatie, transactiegegevens of persoonlijke informatie waren gecompromitteerd. Reuters, dat over de bredere campagne berichtte, zei de omvang of hoeveelheid van wat Clop daadwerkelijk heeft geëxfiltreerd niet onafhankelijk te kunnen verifiëren - een voorbehoud dat geldt voor elk cijfer in dit verhaal dat afkomstig is van de afpersingsgroep zelf en niet van de slachtoffers of een onafhankelijk forensisch onderzoek.

Een patch die twee maanden de tijd kreeg

CVE-2026-12569 is een kritieke, ongeauthenticeerde remote-code-execution-fout in PTC Windchill en FlexPLM, met een CVSS-score van 9,3. PTC begon medio juni 2026 met het uitbrengen van patches. CISA voegde de fout rond 25 juni toe aan zijn Known Exploited Vulnerabilities-catalogus, stelde een hersteltermijn van 28 juni voor Amerikaanse federale instanties, en bevestigde dat misbruik al gaande was. PTC zelf waarschuwde klanten in de dagen erna voor verhoogde dreigingsactiviteit, en beveiligingsonderzoekers meldden dat tegen eind juni JSP-webshells werden geplaatst op ongepatchte Windchill-servers.

Volgens berichten begonnen getroffen organisaties vanaf medio tot eind juli afpersingsberichten van Clop te ontvangen, ongeveer een maand na de patch en de KEV-vermelding. De massale onthulling waarbij Shell, Philips, GE en Fiserv werden genoemd, werd pas medio augustus openbaar, bijna twee maanden nadat de fix van PTC beschikbaar was en de eigen termijn van CISA voor federale instanties was verstreken. De kloof tussen de beschikbaarheid van een patch en het moment waarop massaal misbruik algemeen bekend wordt, is het vertrouwde patroon van een Clop-campagne - dezelfde groep achter de MOVEit- en GoAnywhere-golven - maar de doelcategorie hier is nieuw: geen bestandsoverdrachtssoftware, maar de systemen waarin de daadwerkelijke productontwerpen van een fabrikant liggen.

De meldingskloof waarin dit valt

Een lek van klantgegevens activeert een vertrouwde compliance-reflex: de 72-uursklok van de AVG controleren, beoordelen of persoonsgegevens betrokken waren, de bevoegde gegevensbeschermingsautoriteit informeren. Een lek van technische tekeningen, fabriekstestrapporten en projectplannen activeert niets daarvan, omdat niets daarvan persoonsgegevens is volgens de definitie van de AVG. Dat is precies wat deze incidentklasse gemakkelijk laat onderprioriteren binnen de eigen compliance-inventarisatie van een fabrikant.

De NIS2-richtlijn van de EU werkt met een andere trigger: die verplicht essentiële en belangrijke entiteiten - een categorie die expliciet energiebeheerders zoals Shell en fabrikanten in de gezondheidssector zoals Philips omvat - om significante incidenten te melden, ongeacht of persoonsgegevens betrokken waren. Een PLM-lek dat nooit een enkel klantrecord raakt, kan nog steeds de NIS2-drempel voor een meldingsplichtig incident bereiken als het de vertrouwelijkheid, integriteit of beschikbaarheid raakt van systemen waarvan de entiteit afhankelijk is. Een compliance-team dat zijn meldingslogica alleen rond AVG-triggers heeft opgebouwd, loopt een reëel risico deze verplichting volledig te missen, niet omdat de regel onduidelijk is, maar omdat het incident niet lijkt op het soort lek waarop de AVG iedereen heeft getraind te letten.

Wat fabrikanten nu echt moeten controleren

Elke organisatie die PTC Windchill of FlexPLM gebruikt, moet, ongeacht of ze iets van Clop heeft gehoord, bevestigen dat de juni-patches zijn toegepast, en logs uit het venster tussen de eerste openbaarmaking en de patch controleren op de door beveiligingsonderzoekers gepubliceerde JSP-webshell-indicatoren. Die controle telt ongeacht de bedrijfsgrootte: de campagnes van Clop verliepen historisch via opportunistisch scannen van internetgerichte instanties, niet via gerichte selectie van bekende namen.

De tweede controle is organisatorisch, niet technisch: bevat uw incidentrespons- en meldingsprotocol een trigger voor NIS2-meldingen van significante incidenten die niet afhankelijk is van betrokkenheid van persoonsgegevens? Als het antwoord alleen de AVG dekt, kan een PLM-lek precies zoals dit uw eigen compliance-proces doorlopen zonder ooit een alarm te activeren, totdat een tegenpartij of toezichthouder vraagt waarom het niet is gemeld.

Lees hierna: Duitslands NIS2-gratieperiode is voorbij  |  361 vCenter-servers Getroffen Voor KEV-vermelding