Cl0pランサムウェアグループ、PTC Windchillキャンペーンで被害企業40社以上の名前を公開

Cl0pランサムウェアグループは、PTCの製品ライフサイクル管理（PLM）プラットフォームであるWindchillおよびFlexPLMの脆弱性を悪用した最近のキャンペーンにおいて、標的にされたとされる組織40社以上の名前を公開しました。

脆弱性とその悪用

CVE-2026-12569として追跡されているこの脆弱性の悪用は6月に明らかになりました。CISAがKEVカタログに追加し、ベンダーもこの脆弱性を狙った攻撃について警告を発しています。

この欠陥は不適切な入力検証の問題であり、リモートの未認証攻撃者が特別に細工したリクエストを送ることで任意のコードを実行できてしまいます。

この脆弱性の悪用は事前に予想されており、ドイツの警察が組織に対して差し迫った攻撃について警告していたと報じられています。

なお、CVE-2026-12569は、実際に悪用が確認されたWindchillの脆弱性としては史上初めてのケースです。

セキュリティ業界では7月下旬に、Cl0pランサムウェア攻撃においてこのPLM製品の脆弱性の悪用が確認されたと報告されています。Cl0pの関連グループはこのセキュリティホールを悪用してWebシェルを設置し、Windchillを利用する組織のデータにアクセスできる状態を作り出しました。

セキュリティ企業ReliaQuestは火曜日、Cl0pが追加のツールを必要とせず「完全なデータ窃取能力」を提供するよう設計されたカスタムインプラントを使用していると報告しました。

ReliaQuestは、「このWebシェルは機密性の高いボールトデータをマッピングし、Windchillのキーストア内のすべての認証情報を復号します。さらに、カスタムのJavaクラスローダーを備えており、Cl0pがアプリケーションのプロセス内で追加のコードを実行できるようになっています。これにより、このシェルは横展開やランサムウェア、持続的な侵入といった後続の活動のための無制限のバックドアへと拡張されます」と説明しています。

Cl0pの攻撃

Cl0pのサイバー犯罪集団は当初、自らのWebサイトに企業名の一部のみを掲載していましたが、8月12日から被害者とされる組織のフルネームを公開し始めました。これまでに、Windchillを狙ったキャンペーンで標的にされたとされる組織40社以上の名前が公開されています。

ハッカーは被害者ごとに、窃取したとする情報の種類と量を一覧にしています。

流出したとされるデータの種類には、データベース、プロジェクトファイル、バックアップ、写真やその他の画像ファイル、設計文書、設計図、図面、ログ、その他の企業文書が含まれます。ハッカーによれば、組織ごとに窃取された情報量は1GBから数テラバイトに及ぶとのことです。

侵害されたファイルには機密性の高い個人情報や貴重な知的財産が含まれている可能性がありますが、その多くは価値が低く、すでに公開情報となっているものも多いとみられます。これが、標的にされた組織の多くがおそらく身代金の支払いを拒否している理由と考えられます。

被害者とされる組織のリストには、石油・ガス大手のShell、テクノロジー大手のPhilips、フィンテック大手のFiserv、エンタープライズモビリティ企業のZebra Technologies、産業機器メーカーのIngersoll Rand、POSソフトウェアメーカーのToast、医療技術大手のMindray、Appleのカメラレンズの主要サプライヤーであるLargan Precisionなどが含まれています。

GEも当初はリストに掲載されていましたが、その後Cl0pのWebサイトから削除されました。これは、同社が身代金の支払いに同意した、あるいはハッカーとの交渉を再開したことを示している可能性があります。

Shell、Philips、Fiserv、GEなどの企業は、これらの主張を認識しており調査中であると述べていますが、いずれの企業も重大なデータ侵害があったとは確認していません。

Cl0pはこれまでにも、Oracle E-Business Suite、MOVEit、Cleo、GoAnywhereの各ソフトウェアの脆弱性を狙い、同様のデータ窃取・恐喝キャンペーンを展開してきました。