Clopが悪用したPTC製品ハッキングの余波、いまなお拡大中

悪名高いサイバー犯罪グループが、またしても重大なゼロデイ脆弱性を大規模に悪用し、世界有数の上場企業を含む数十の組織からデータを窃取したと主張しています。

2020年から活動を続ける、計算高く悪質なデータ窃取型恐喝グループ「Clop」は、研究者らによると、7月中旬から被害者とみられる組織に脅迫メールを送り始めたということです。

Clopとその標的層に見られるいつものパターンを踏襲する形で行われた今回の攻撃キャンペーンですが、被害企業が侵害の兆候を洗い出す中で、その余波はいまなお拡大を続けています。

今回のClopのキャンペーンの中心にある脆弱性は、PTCの2つの製品「Windchill」と「FlexPLM」に影響を及ぼすものです。これらは主に製造業、航空宇宙、自動車業界のメーカーや小売業者が、サプライチェーンシステムの自動化や製品ライフサイクル管理に利用しています。

Recorded FutureのフィールドCISOであるAllan Liska氏はCyberScoopに対し、「これはClopが続けてきた、SaaS型物流企業のプラットフォームをゼロデイで狙い、大規模な悪用キャンペーンを展開するという傾向の延長線上にある」と述べています。

PTCは6月17日にこの脆弱性——CVE-2026-12569——を公表し、翌日にはパッチと侵害の初期指標(IoC)を公開しました。

しかし、Ransom-ISACによると、Clopの被害者とみられる一部の組織にとっては、この対応は手遅れでした。6月上旬の時点でゼロデイ悪用によりすでに侵害を受けていたとみられるためです。

米サイバーセキュリティ・インフラセキュリティ庁(CISA)は6月25日、認証を経ずにリモートでコードを実行できるこの欠陥を、既知の悪用済み脆弱性カタログに追加しました。

PTCは研究者らが新たな侵害指標(IoC)を発見するたびに随時それらを追加してきました。しかし同社は、この脆弱性とそれに続く攻撃をどのように把握したのか、悪用が確認された最も早い時期はいつだったのか、また侵害が確認された顧客数がどれくらいに上るのかについては明らかにしていません。

PTCはコメント依頼に応じませんでした。

Clopが被害者として名指ししている組織は多岐にわたります。POS(販売時点情報管理)型のレストラン管理プラットフォームを手掛けるToastと、ソフトウェアベンダーのZebraはいずれも、CyberScoopの取材に対しシステムへの侵入を検知し封じ込めたものの、影響は限定的だったと説明しました。GE、Philips、Shellなど、被害者とされる他の企業はコメント依頼に応じませんでした。

研究者らは、ClopがPTC顧客のシステムを悪用して侵入した後に使用したツールについて、引き続き新たな詳細を明らかにしています。ReliaQuestによると、同グループはカスタムWebシェルを使用しており、これにより攻撃者は認証情報の窃取や大規模なデータ窃取へと直接進むことができたとしています。

ReliaQuestの研究者らが火曜日に公開したレポートによると、このWindchill専用に構築された、いわば「完全装備の恐喝プラットフォーム」は、認証情報を復号し、マルウェアを配信するほか、持続的なアクセス維持、ネットワーク内での横展開、データ暗号化のためのツールも備えています。

このツールキットにより、攻撃者は手動でコマンドを実行することなく、初期侵入からデータ窃取、さらにその後の侵害後活動まで迅速に進めることが可能になります。これはWindchillの標準機能を模倣したフレームワークであり、防御側が悪意ある活動を検知する能力を制限するものです。

ReliaQuestの研究者らはレポートの中で、「今回のキャンペーンは、Clopがいまなお『眠れる竜』であり続けていることを改めて思い知らせるものだ。同グループは常に、機密データを保持するソフトウェアの脆弱性を大規模に悪用する機会をうかがい、その準備を進めている」と指摘しています。「同グループはキャンペーンとキャンペーンの間はおとなしくしていることが多いが、大規模な恐喝の機会が訪れるたびに、カスタム構築したWebシェルを引っさげて息を吹き返す」としています。

今回のClopによる一連の攻撃の影響が長期化している点も、過去のキャンペーンと重なる部分があります。この脅威グループはこれまでも複数のテクノロジーベンダーのシステムでゼロデイ脆弱性の悪用に成功しており、それによって数週間、場合によっては数か月にわたり、多数の下流顧客から機密データを窃取し続けることができています。

Clopは2025年夏から3か月以上にわたりOracle E-Business Suiteの顧客数十社を標的とした後、被害者らに対して脅迫メールを一斉に送りつけ始めました。同グループはまた、2023年にMOVEit環境へ侵入した際にも大規模な悪用に成功しており、最終的に2,300を超える組織のデータが流出する事態となり、同年最大かつ最も重大なサイバー攻撃となりました。