General Electric (GE), Philips y Shell investigan las afirmaciones del grupo de ransomware Clop sobre una presunta vulneración de sus sistemas y el robo de datos.
Aunque las tres empresas aún no han compartido detalles, Clop las incluyó en su sitio de filtraciones como parte de un lote de 43 nuevas víctimas, probablemente atacadas para la filtración de datos mediante la explotación de una vulnerabilidad crítica de validación deficiente de entradas (registrada como CVE-2026-12569) en instancias de PTC Windchill y PTC FlexPLM expuestas a internet.
PTC afirma que ambas plataformas de software empresarial son ampliamente utilizadas por compañías destacadas de los sectores aeroespacial, de defensa, automotriz, de maquinaria pesada, minorista y de tecnología médica.
La empresa señala que más de 30,000 clientes en todo el mundo utilizan sus productos, incluidos más de 1,500 clientes minoristas y de marcas que emplean FlexPLM.
En estos ataques, Clop asegura haber robado una amplia gama de datos confidenciales de los sistemas comprometidos de las empresas, incluyendo copias de seguridad, planes de proyectos, fotografías de instalaciones, dibujos, diagramas, planos técnicos y más, pertenecientes a Shell, GE y Philips.
Índice de temas
Shell, GE y Philips evalúan el alcance del ataque
El gigante petrolero reconoció el pasado 14 de agosto una investigación por un posible incidente de seguridad, tras las declaraciones del grupo de hackers sobre el robo de 89 GB de datos.
“Estamos al tanto de un posible incidente. Estamos trabajando con nuestros equipos de seguridad y expertos pertinentes para investigar el asunto”, declaró un portavoz de Shell a BleepingComputer.
En tanto, un portavoz de GE declaró que la empresa está al tanto de la acusación y “trabaja para evaluar el posible problema”, mientras que un vocero de Philips confirmó que sus sistemas fueron vulnerados, pero aseguró que el incidente ha sido contenido y no afectó a los clientes.
“Philips ha identificado y contenido un intento de vulneración de la ciberseguridad en un servidor empresarial específico relacionado con datos internos. Esto no afecta a los entornos de los clientes”, afirmó la compañía en una declaración a Reuters.
Parches de emergencia ante explotación activa en PTC
PTC comenzó a publicar parches de seguridad para la vulnerabilidad CVE-2026-12569 el pasado 17 de junio e instó a los clientes, mediante un aviso privado, a revisar sus entornos en busca de indicadores de compromiso (IOC), a pesar de que no había confirmación de que la vulnerabilidad se estuviera explotando en ataques reales.
Desde entonces, la empresa de ciberseguridad ReliaQuest y el Centro de Análisis e Intercambio de Información sobre Ransomware (Ransom-ISAC) han confirmado los ataques de Clop contra Windchill y FlexPLM, en los cuales los actores de amenazas han desplegado webshells JSP para robar datos confidenciales de las plataformas PLM comprometidas de las víctimas.
CISA y BSI emiten alertas de emergencia por falla en PTC
La Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) de Estados Unidos también confirmó que la vulnerabilidad está siendo explotada activamente en ataques, después de que PTC advirtiera sobre una “mayor actividad de amenazas” el pasado 26 de junio.
La agencia ordenó a las dependencias federales estadounidense proteger sus instancias de PTC Windchill y FlexPLM en un plazo de tres días tras incluir la vulnerabilidad en su catálogo de fallos explotados conocidos.
Esta vulnerabilidad también ha provocado una respuesta de emergencia por parte de las autoridades alemanas: la Oficina Federal de Seguridad de la Información (BSI) advirtió a los clientes de PTC, en plena madrugada, que debían aplicar los parches a sus sistemas lo antes posible.
El historial de Clop: de MOVEit y Oracle EBS a PTC
El grupo de extorsión Clop cuenta con un largo historial de ataques a plataformas empresariales para el robo de datos, habiendo vulnerado anteriormente Accellion FTA.
En campañas anteriores, se atacaron servidores de intercambio de archivos como GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo y MOVEit Transfer; este último incidente afectó a más de 2,770 organizaciones en todo el mundo.
A partir de principios de agosto de 2025, el grupo también comenzó a explotar una vulnerabilidad de día cero en Oracle EBS para sustraer archivos confidenciales de numerosas organizaciones.
La lista de víctimas incluye entidades de gran renombre a nivel mundial, tales como The Washington Post, GlobalLogic, la Universidad de Harvard, la Universidad de Pensilvania, Logitech, Estée Lauder, Korean Air y Envoy Air (filial de American Airlines).
El Departamento de Estado estadounidense ofrece actualmente una recompensa de $10 millones de dólares por cualquier información que vincule los ataques de esta banda de ciberdelincuentes con un Gobierno extranjero.
