Хакери Cl0p заявили про викрадення даних 50 компаній, зокрема Shell та Philips

Заява зловмисників, оприлюднена 12 серпня, свідчить про масштабну кампанію з викрадення даних. Зокрема, у Shell хакери стверджують, що здобули близько 89 гігабайтів інформації, включно з проєктними кресленнями енергетичних об'єктів, фотографіями промислових комплексів та звітами про технічні інспекції. У Philips, за їхніми словами, викрадено 13,5 гігабайта даних, що містять схеми та діаграми у форматі PDF. Зразки викраденої інформації поки не оприлюднені.

Корпорації підтвердили спроби несанкціонованого доступу до своїх систем. Представник Shell заявив, що компанія співпрацює з експертами з безпеки для розслідування інциденту. У Philips повідомили, що виявили та локалізували кібератаку на окремий корпоративний сервер, зазначивши, що вона не зачепила клієнтські середовища. General Electric запустила протоколи реагування на кіберзагрози, а Fiserv наразі не знайшла доказів компрометації клієнтських чи транзакційних даних.

Експерти з кібербезпеки пов'язують цю атаку з експлуатацією вразливостей у програмному забезпеченні PTC Windchill та FlexPLM, яке широко використовується у виробничих процесах. За даними галузевої групи Ransom-ISAC, Cl0p активно використовує ці вразливості щонайменше з 22 липня. Аналітик Брендон Парсонс зазначає, що угруповання діє як "професійні вимагачі даних", обираючи не конкретні компанії, а вразливі програмні комплекси.

Загроза від таких атак є подвійною: компанії ризикують не лише втратити контроль над конфіденційною інформацією, а й зіткнутися з її публічним оприлюдненням. Для Shell витік креслень промислових об'єктів може становити загрозу фізичній безпеці критичної інфраструктури, оскільки ці дані потенційно здатні використати для планування диверсій. Для Philips це ризик втрати інтелектуальної власності, адже конструкторська документація може потрапити до конкурентів.

Cl0p — одне з найактивніших російськомовних угруповань, яке діє щонайменше з 2019 року. Воно стало піонером тактики "подвійного вимагання": спершу блокує системи, а потім шантажує публікацією даних у даркнеті, якщо жертва відмовляється платити викуп у криптовалюті. Останніми роками група відмовилася від шифрування окремих мереж на користь масових атак через zero-day вразливості, як це було з платформами Accellion FTA, GoAnywhere MFT та MOVEit Transfer, що скомпрометували дані сотень мільйонів користувачів.