Cl0p diz ter roubado dados de quase 50 empresas em ataque global

O grupo cibercriminoso Cl0p afirmou ter roubado grandes volumes de dados de quase 50 empresas ao redor do mundo, em uma nova campanha que atingiria organizações de diferentes setores. Entre os nomes citados estão Shell, Philips, GE e Fiserv.

As alegações foram publicadas pelo próprio grupo em seu site. A extensão do suposto roubo, incluindo quais informações foram obtidas e o volume de dados comprometidos, ainda não foi confirmada de forma independente. Algumas das empresas mencionadas reconheceram que estão investigando possíveis incidentes de segurança.

O caso chama atenção principalmente pela possibilidade de os ataques estarem relacionados à exploração de vulnerabilidades em softwares empresariais usados para gerenciar informações de engenharia, fabricação e desenvolvimento de produtos.

Shell, Philips, GE e Fiserv investigam situação

A Philips informou ter identificado e contido uma tentativa de comprometimento envolvendo um servidor empresarial específico relacionado a dados internos. Segundo a companhia, o episódio não afetou ambientes de clientes.

A Shell afirmou estar ciente de um possível incidente recente e informou que trabalha com suas equipes de segurança e especialistas para investigar a situação.

A Fiserv também disse ter conhecimento das alegações do grupo. Após uma revisão realizada até o momento, a companhia declarou não ter encontrado evidências de comprometimento de dados de clientes, informações bancárias, transações, dados pessoais ou de seu ambiente operacional.

A GE confirmou estar ciente da alegação e acionou seus protocolos de resposta a incidentes cibernéticos para avaliar o possível problema.

As diferentes respostas mostram que a presença de uma empresa na lista publicada por criminosos não significa, por si só, que o vazamento tenha sido confirmado.

Falhas em sistemas da PTC estão sob investigação

Embora ainda não esteja claro como todas as empresas citadas pelo Cl0p teriam sido acessadas, especialistas em segurança vêm acompanhando uma campanha de exploração de sistemas PTC Windchill e FlexPLM expostos à internet.

As plataformas são utilizadas por empresas para gerenciamento do ciclo de vida de produtos e podem concentrar informações relacionadas a projetos, engenharia, fabricação e outros processos corporativos.

Uma das falhas associadas aos ataques é identificada como CVE-2026-12569. A vulnerabilidade permite, em determinadas instalações vulneráveis, a execução remota de código sem autenticação. Relatos de segurança apontam que invasores vêm explorando a falha para instalar web shells e obter acesso persistente aos servidores.

A vulnerabilidade recebeu classificação de alta criticidade e foi incluída no catálogo de falhas conhecidas e exploradas da Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos, a CISA. A PTC já disponibilizou correções para sistemas afetados.

Ataques podem mirar dados de engenharia

O funcionamento da campanha é particularmente preocupante porque sistemas de gerenciamento de ciclo de vida de produtos podem armazenar informações estratégicas das empresas.

Entre os possíveis conteúdos encontrados nesses ambientes estão documentos técnicos, dados de engenharia, especificações, projetos e informações relacionadas a processos de fabricação.

Pesquisadores observaram invasores realizando enumeração de sistemas, preparação de dados de engenharia e design para extração e posterior tentativa de extorsão. Os ataques registrados atingem setores como manufatura, automotivo, aeroespacial e varejo.

Em vez de necessariamente bloquear sistemas com ransomware tradicional, grupos de extorsão podem roubar informações e ameaçar divulgá-las caso a vítima não aceite suas exigências.

Cl0p já é conhecido por ataques em larga escala

O Cl0p é conhecido por campanhas que procuram falhas em softwares amplamente utilizados para atingir várias organizações em um mesmo período.

Nesse modelo, o principal alvo inicial não precisa ser uma empresa específica. Os criminosos buscam uma vulnerabilidade que possa estar presente em instalações de diversas organizações e tentam explorar sistemas que ainda não receberam correções.

A estratégia aumenta o potencial de uma única falha produzir um grande número de vítimas, especialmente quando o software vulnerável está acessível pela internet.

No caso atual, especialistas já haviam alertado em julho sobre atividades suspeitas envolvendo Windchill e FlexPLM. Organizações que utilizam essas plataformas foram orientadas a instalar as atualizações disponibilizadas, reduzir a exposição dos sistemas à internet e verificar registros em busca de sinais de comprometimento.

Por enquanto, a lista divulgada pelo Cl0p deve ser tratada como uma alegação dos próprios criminosos. As investigações conduzidas pelas empresas afetadas serão determinantes para esclarecer quantas organizações realmente tiveram sistemas comprometidos e quais informações podem ter sido acessadas.