eSecurity Planet の内容および製品に関する推奨事項は、編集上の独立性が保たれています。当社パートナーへのリンクをクリックいただくことで、収益が発生する場合があります。 詳細はこちら
フィリップスとゼネラル・エレクトリック(GE)は、Clopランサムウェアグループが両社からデータを窃取したと主張していることを受け、この事案の調査を進めています。
両社は、Clopのデータリークサイトに最近掲載された43の組織に含まれています。
今回の事案は、CVE-2026-12569を通じてインターネットに公開されたPTC WindchillおよびPTC FlexPLMシステムを狙った攻撃と関連している可能性があります。
「Cl0pの手口は何年も前から明らかになっています。彼らは広く利用されている企業向けソフトウェアを繰り返し標的にし、既知の脆弱性を悪用したうえで、窃取したデータを交渉材料として利用してきました」と、AttackIQのフィールドCISOであるPete Luban氏はeSecurityPlanetへのメールで述べています。
同氏はさらに、次のように説明しています。「課題は、こうした知見を実際の行動につなげることです。CTEMを活用すれば、すべての脆弱性を一律に緊急対応すべきものとして扱うのではなく、実際に重大なリスクとなり得る露出箇所を継続的に特定できるようになります」
フィリップスとGEの事案の要点
- フィリップスとGEは、Clopが両社からデータを窃取したと主張したことを受けて調査を実施中
- Clopは、インターネットに公開されたPTC WindchillおよびFlexPLMシステムが関与している可能性があるキャンペーンにおいて、43の組織を被害候補としてリストに掲載
- CVE-2026-12569が今回の攻撃に関連している可能性があるが、初期侵入経路や被害を主張されている組織全体における悪用の広がりについては、依然として調査中
- フィリップスは社内の企業向けサーバーが侵害されたことを確認したものの、顧客環境への影響はないとしており、一方GEはClopの主張について現在も評価を進めている段階
- WindchillまたはFlexPLMを利用している組織は、公開されているインスタンスのパッチ適用を優先し、侵害やデータ流出の痕跡がないか調査すべき
フィリップス、企業向けサーバーの侵害を確認
フィリップスは、社内情報を含む特定の企業向けサーバーに対する不正なアクティビティを検知し、封じ込めたことを確認しました。
同社は、どのような社内情報がアクセスされた可能性があるのか、またデータの窃取に成功したかどうかについては、公にしていません。
GEはこれまでのところ、より限られた情報しか公開していません。BleepingComputerによると、GEの広報担当者は脅威アクターの主張を認識しており、「潜在的な問題の評価に取り組んでいる」と述べています。
両社とも、Clopが主張するデータ窃取の詳細については、これまで公に確認していません。
Clop、被害候補として43組織をリストに掲載
Clopの最新の被害者リストには、フィリップスとGEに加え、石油・ガス大手のShellも含まれています。
Shellは最近、ランサムウェアグループが約89GBの企業データを窃取したと主張していることを受け、セキュリティインシデントの可能性について調査していることを確認しています。
これらの企業は、製品ライフサイクル管理(PLM)向けの企業向けプラットフォームであるPTC WindchillおよびPTC FlexPLMを標的とした、より大規模なキャンペーンの一部である可能性があります。
これらのシステムには、製品データやエンジニアリングデータなど機密性の高い企業情報が含まれることがあり、侵害された導入環境はデータを狙う恐喝グループにとって価値の高い標的となり得ます。
組織がリスクを低減するには
PTC WindchillまたはFlexPLMを利用している組織は、悪用のリスクを低減し、侵害の可能性を特定するために、以下の対策を講じるべきです。
- 影響を受けるPTC WindchillおよびFlexPLMのインスタンスを特定・パッチ適用する(インターネットに公開されているシステムを優先)
- 不審なアクセスや異常なデータ転送、その他の侵害の兆候がないか、アプリケーション、認証、ネットワーク、ファイアウォールの各ログを確認する
- 影響を受けたシステムからアクセス可能な認証情報、APIキー、サービスアカウントのパスワード、認証トークン、その他の機密情報について、漏えいの可能性があるものをローテーションする
- 不審なシステムを隔離し、不正なアカウント、Webシェル、改ざんされたファイル、異常なプロセスなど、持続的侵害の痕跡がないか調査する
- ネットワークセグメンテーションを強化し、不要なインバウンド・アウトバウンド通信を制限することで、横展開やデータ流出を抑制する
- 最小権限の原則を徹底し、特権アカウントおよびサービスアカウントを見直すことで、侵害されたアプリケーションが機密性の高いシステムやデータに不必要にアクセスできないようにする
- インシデント対応計画をテストし、PLMプラットフォームの侵害やデータ流出を想定したシナリオで攻撃シミュレーションツールを活用する
結論
調査が続く中、セキュリティチームは、Clopがどのようにアクセス権を得たのか、またCVE-2026-12569が被害を主張されている43組織全体で悪用されたかどうかについて、今後の確認情報に注目する必要があります。
もしこれが事実であると確認された場合、各チームは、脆弱なシステムが修復前にアクセス可能な状態にあったか、あるいは実際に侵害されていたかを判断するため、過去の露出状況やテレメトリを見直す必要があります。
ゼロトラストソリューションは、継続的な検証を徹底し、重要なシステムと機密データ間のアクセスを制限することで、露出をさらに低減する助けとなります。
