シェル、Clopのデータ窃取主張を受け「潜在的インシデント」を調査

石油大手のシェルは、ランサムウェアグループClopが89GBのデータを盗んだと主張していることを受け、潜在的なセキュリティインシデントについて調査していることを認めました。

シェルは英国に本拠を置く多国籍エネルギー複合企業で、シェブロン、エクソンモービルに次ぐ世界トップ3の石油・ガス企業の一角です。70カ国以上に85,000人の従業員を抱え、数万カ所に及ぶ給油・充電ステーションの巨大ネットワークを運営し、毎日2,000万人を超える顧客にサービスを提供しています。

Clopのダークウェブ上のデータ漏洩サイトに最近投稿された内容によると、盗まれたとされるファイルにはエンジニアリング図面、施設テストレポートのスキャン、施設の写真、プロジェクト計画などが含まれているとのことです。

Clopのデータ窃取の主張について確認を求められたシェルの広報担当者はBleepingComputerに対し、「われわれは潜在的なインシデントを認識している。セキュリティチームおよび関連の専門家と協力し、調査を進めている」と述べました。

シェルはまだ詳しい情報を明らかにしていませんが、Clopはインターネットに公開されたPTCのWindchillおよびFlexPLMインスタンスを狙ったデータ窃取攻撃の対象とみられる新規被害者43社の一つとして、同社を自社のリークサイトに掲載しました。この攻撃では、重大な入力値検証不備の脆弱性であるCVE-2026-12569が悪用されています。

同じ一連の攻撃の一環として、Clopはテクノロジー大手のゼネラル・エレクトリック(GE)とフィリップスのネットワークからも、バックアップ、システムファイル、プロジェクト、図面、ダイアグラム、設計図などの機密データを盗んだと主張しています。

BleepingComputerが本日早くに問い合わせた際、GEとフィリップスの広報担当者からは即座にコメントを得られませんでした。PTCの広報担当者もコメント要請にまだ応じていません。

PTCは6月17日からCVE-2026-12569のセキュリティパッチの提供を開始しました。実際の悪用については確認していなかったものの、顧客に対して環境内の侵害の痕跡(IOC)を確認するよう促す非公開のアドバイザリも発行しています。

PTCが6月26日に「脅威活動の高まり」について警告した後、米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)もこの脆弱性が実際の攻撃で悪用されていることを確認し、既知の悪用された脆弱性カタログに追加しました。さらに連邦政府機関に対し、3日以内にPTCのWindchillおよびFlexPLMインスタンスを保護するよう命じています。

CVE-2026-12569はまたドイツ当局の緊急対応も引き起こしました。連邦情報セキュリティ庁(BSI)は深夜にPTCの顧客に対し、可能な限り速やかにシステムにパッチを適用するよう警告しています。

Clopによるこの一連のWindchill・FlexPLM攻撃は、ランサムウェアの脅威の追跡と防御に取り組む非営利団体であるRansomware Information Sharing and Analysis Centre(Ransom-ISAC)、およびサイバーセキュリティ企業ReliaQuestによっても確認されています。ReliaQuestは、脅威アクターが被害者の侵害されたPLMプラットフォームから機密データを盗み出すためのJSPウェブシェルを展開していると述べています。

ReliaQuestは、PTCの顧客に対してWindchillとFlexPLMのシステムにパッチを適用し、可能であればVPNや信頼できるアクセスゲートウェイの背後に配置するよう助言しています。加えて、侵害が疑われる場合には、影響を受けたサーバーを隔離し、フォレンジック証拠を収集した上で、サービスを復旧する前に流出した可能性のある認証情報をすべてローテーションすべきだとしています。

PTCのFlexPLMとWindchillは、製品ライフサイクル管理(PLM)分野のエンタープライズソフトウェアプラットフォームであり、製品の設計から最終製造に至るまでの追跡・設計・管理に利用されています。

この2つのシステムは、航空宇宙、防衛、自動車、重機、小売、医療機器といった各業界の著名企業において、エンジニアリング、製造、品質管理、サプライチェーンの各部門で広く利用されています。PTCによれば、同社製品は世界中で30,000社を超える顧客に利用されており、そのうちFlexPLMを利用するブランド・小売顧客は1,500社を超えるとのことです。