大手企業のゼネラル・エレクトリック(GE)とフィリップスも、Clopランサムウェア集団が自社システムに侵入しデータを窃取したとする主張について調査していることを確認しました。
GEの広報担当者は、同社がこの主張を把握しており「潜在的な問題を評価するために取り組んでいる」と述べた一方、フィリップスの広報担当者はシステムへの侵入があったことを認めつつも、インシデントはすでに封じ込められており、顧客への影響はなかったと説明しています。
フィリップスはロイターに共有した声明で、「フィリップスは、内部データに関連する特定のエンタープライズサーバーに対するサイバーセキュリティ侵害の試みを検知し、封じ込めました」とし、「これは顧客環境には一切影響しません」と述べました。
BleepingComputerもGEとフィリップスの広報担当者に詳細の確認とClopランサムウェア集団の主張の裏付けを求めて連絡していますが、両社からの返答はまだありません。
この件は、石油大手シェルも金曜日に、Clopハッキング集団が89GBのデータを窃取したと主張していることを受けて潜在的なセキュリティインシデントを調査していると明らかにした直後に発覚しました。
シェルの広報担当者はBleepingComputerから同集団のデータ窃取に関する主張の確認を求められた際、「潜在的なインシデントを把握しています」とし、「セキュリティチームおよび関連の専門家と協力し、調査を進めています」と述べました。
3社とも詳細な情報はまだ明らかにしていませんが、Clop集団はこれらの企業を、インターネットに公開されたPTC Windchill および PTC FlexPLM インスタンスを狙った、重大な不適切な入力検証の脆弱性(CVE-2026-12569として追跡)を悪用したデータ窃取攻撃で標的にされたとみられる、新たな43件の被害者リストの一部としてリークサイトに掲載しています。
PTCによると、これら2つのエンタープライズソフトウェアプラットフォームは、航空宇宙、防衛、自動車、重機、小売、医療技術といった分野の著名企業で広く利用されています。同社の製品は世界で3万社以上の顧客に利用されており、そのうちFlexPLMを利用する大手小売企業の顧客は1,500社を超えるとしています。
これらの攻撃においてClopは、シェル、GE、フィリップスの侵害されたシステムから、バックアップ、プロジェクト計画書、施設の写真、図面、ダイアグラム、設計図など、幅広い機密データを窃取したと主張しています。
PTCは6月17日にCVE-2026-12569のセキュリティパッチの提供を開始し、実際の悪用が確認されていないにもかかわらず、非公開のアドバイザリで顧客に対し、環境内に侵害の痕跡(IOC)がないか確認するよう促していました。
その後、サイバーセキュリティ企業ReliaQuestとランサムウェア情報共有分析センター(Ransom-ISAC)が、ClopによるWindchillおよびFlexPLMへの攻撃を確認しています。この攻撃では、脅威アクターがJSP製のWebシェルを展開し、被害者の侵害されたPLMプラットフォームから機密データを窃取しています。
米サイバーセキュリティ・インフラセキュリティ庁(CISA)も、この脆弱性が実際の攻撃で悪用されていることを確認しました。PTCが6月26日に「脅威活動の高まり」を警告したことを受け、CISAはこの脆弱性を既知の悪用済み脆弱性カタログに追加し、連邦政府機関に対しPTC WindchillおよびFlexPLMインスタンスを3日以内に保護するよう義務付けました。
この脆弱性はドイツ当局による緊急対応も引き起こしました。連邦情報セキュリティ庁(BSI)は深夜にPTC顧客に対し、できるだけ早くシステムにパッチを適用するよう警告しました。
Clop恐喝集団は、これまでにもAccellion FTA、GoAnywhere MFT、SolarWinds Serv-U FTP、Cleo、MOVEit Transferといったファイル転送サーバーを侵害するデータ窃取攻撃を繰り返してきた長い実績があり、MOVEit Transferの被害では世界中で2,770を超える組織に影響が及びました。
2025年8月初旬からは、Oracle EBSのゼロデイ脆弱性の悪用も開始し、多数の組織から機密ファイルを窃取しました。被害者リストには、The Washington Post、GlobalLogic、ハーバード大学、 ペンシルベニア大学、ロジテック、エスティローダー、大韓航空、アメリカン航空の子会社Envoy Airなど、世界の著名企業が多数名を連ねています。
米国務省は現在、このサイバー犯罪集団の攻撃を外国政府に結び付ける情報に対し、1,000万ドルの報奨金を提供しています。
攻撃者が有効な認証情報を入手すると、その行動の37%しかブロックできない
全体的な防御スコアだけでは、初期侵入後に何が起きるかが見えなくなります。攻撃者が有効な認証情報を使い始めると、防御の成功率は急激に低下します。
The Blue Report 2026は、顧客の本番環境で実施された3億3,800万回のシミュレーションをもとに、防御手法ごとの有効性を測定しています。
