ランサムウェア集団Clop、Windchill・FlexPLMを標的にデータ窃取攻撃を展開

ランサムウェア集団Clop(Cl0pとしても知られる)が、インターネットに公開されたPTC WindchillおよびFlexPLMのインスタンスを標的とする新たなデータ窃取型恐喝キャンペーンを展開しています。

Clopは、攻撃者が脆弱なWindchillおよびFlexPLMインスタンス上で任意のコードを実行できるようになる、入力値検証不備に関する深刻な脆弱性CVE-2026-12569を悪用していると報告されています。

サイバーセキュリティ企業のReliaQuestが木曜日に報告したところによると、Clopのオペレーターは、標的企業の侵害されたPLMプラットフォームから機密データを窃取できるJSP製Webシェルを展開しているとのことです。

「ReliaQuestは、PTC WindchillおよびFlexPLMに影響する深刻な安全でないデシリアライゼーションの脆弱性(CVSS 9.3)であるCVE-2026-12569を、脅威アクターが積極的に悪用している状況を確認しました。この脆弱性の悪用により、認証を経ないリモートコード実行や、リモートコマンド実行および機密製品データの窃取を目的としたJSP製Webシェルの展開が可能になります」と同社は述べています。

「これらの攻撃の背後にいる攻撃者は、まだ確認が取れていません。しかし、観測された手口は、これまでエンタープライズアプリケーションや高価値のデータリポジトリを標的としてきたCl0pのキャンペーンと共通する特徴を持っています」としています。

BleepingComputerが把握したところによると、各企業は[email protected]から恐喝メールを受け取り始めています。これはClopが使用している新たなメールアドレスの1つです。

新たな恐喝キャンペーンを開始する前にメールアドレスを変更するのは、このサイバー犯罪集団の常套手段です。

攻撃での実悪用が確認され、既知の悪用脆弱性としてフラグ付け

PTCは6月17日からCVE-2026-12569の脆弱性に対するセキュリティパッチの提供を開始しました。実際の悪用については当初確認していなかったものの、非公開のアドバイザリで対応策を公開し、顧客に対して自社環境に侵害の痕跡(IOC)がないか確認するよう呼びかけていました。

PTCが6月26日に「脅威活動の活発化」について顧客に警告した後、米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)はこの脆弱性を既知の悪用済み脆弱性(KEV)カタログに追加し、米連邦政府機関に対して3日以内にPTC WindchillおよびFlexPLMインスタンスを保護するよう命じました。

ドイツのニュースメディアHeiseによると、CVE-2026-12569はドイツ当局の緊急対応も引き起こしました。連邦情報セキュリティ庁(BSI)は深夜にPTC顧客へメールや電話連絡を行い、可能な限り速やかにシステムへパッチを適用するよう警告したとのことです。

ドイツ当局は3月にも、Windchill・FlexPLMに類似した深刻な脆弱性(CVE-2026-4681)が悪用されている、あるいは近く悪用される可能性が高いとの報告を受け、同様の緊迫した対応を見せていました。

木曜日、ReliaQuestはPTC顧客に対し、WindchillおよびFlexPLMシステムにパッチを適用し、可能であればVPNや信頼済みアクセスゲートウェイの背後に配置するよう勧告しました。また、侵害が疑われる場合は、影響を受けたサーバーを隔離し、フォレンジック調査に必要な証拠を収集した上で、サービス復旧前に漏洩の可能性がある認証情報をすべてローテーションするよう助言しています。

今週初めにBleepingComputerが取材を試みた際、PTCの広報担当者からは即座にコメントを得られませんでした。

PTC WindchillとPTC FlexPLMは、製品ライフサイクル管理(PLM: Product Lifecycle Management)と呼ばれる分野のエンタープライズソフトウェアプラットフォームで、着想段階から最終的な製造に至るまで、製品の追跡・設計・管理に使用されます。

この2つのPLMシステムは、航空宇宙、防衛、自動車、重機、小売、医療機器といった各業界の著名企業において、エンジニアリング・製造・品質管理・サプライチェーンの各チームで広く利用されています。PTCによると、同社製品は世界中で30,000社を超える顧客に利用されており、そのうちFlexPLMを利用するブランド・小売顧客は1,500社を超えるとのことです。

Clopによるこれまでのデータ窃取キャンペーン

恐喝集団Clopは、データ窃取攻撃においてエンタープライズプラットフォームを侵害してきた長い実績を持っています。これまでのキャンペーンでは、Accellion FTA、GoAnywhere MFT、SolarWinds Serv-U FTP、Cleo、MOVEit Transferといったファイル共有サーバーを標的にしてきました。特にMOVEit Transferの事例では、世界中で2,770を超える組織が影響を受けました。

直近では、2025年8月上旬以降、Oracle EBSのゼロデイ脆弱性を悪用し、多数の組織から機密ファイルを窃取しました。被害組織にはハーバード大学、The Washington Post、GlobalLogic、ペンシルベニア大学、Logitech、エスティローダー、大韓航空、そしてアメリカン航空の子会社Envoy Airなどが含まれます。

Clopはシステムを侵害して機密文書を窃取した後、被害者が身代金の支払いを拒否した場合、盗んだデータをダークウェブのリークサイトに公開し、Torrent経由でダウンロードできるようにします。

米国務省は現在、このサイバー犯罪集団による攻撃と外国政府とのつながりを示す情報提供者に対して1,000万ドルの報奨金を提供しています。