Clop reivindica Shell pela terceira vez — empresa investiga

A campanha do Cl0p contra instâncias PTC Windchill e FlexPLM é tecnicamente bem documentada e independentemente confirmada por múltiplas fontes — CISA, BSI alemão, Ransom-ISAC e ReliaQuest. CVE-2026-12569 é uma falha crítica de desserialização de dados não confiáveis (CVSS 3.1: 9.8; CVSS 4.0: 9.3) que permite execução remota de código sem autenticação e sem interação do usuário. A exploração como provável zero-day teria começado em meados de junho de 2026, antes da divulgação pública em 17/06. PTC confirmou a exploração ativa no dia seguinte ao patch. A CISA adicionou o CVE ao catálogo KEV em 25/06, com prazo de remediação de três dias para agências federais dos EUA — um dos prazos mais curtos já observados.

O Cl0p alega ter roubado 89 GB de dados da Shell, incluindo desenhos de engenharia, fotografias de instalações, relatórios de testes e planos de projeto. Esses tipos de dado são estruturalmente consistentes com o que sistemas PLM industriais como o Windchill armazenam — há coerência interna na narrativa do ator. Entretanto, a alegação de volume e de exfiltração efetiva permanece exclusivamente na voz do Cl0p. A Shell respondeu com uma declaração de cinco palavras úteis ('We are aware of a potential incident'), recusando confirmar ou negar qualquer comprometimento específico. Esse comportamento é consistente com protocolo jurídico-comunicacional padrão em incidentes em investigação, mas não fornece evidência em nenhuma direção.

O contexto histórico é relevante e até agora ausente da maioria das coberturas. A Shell foi vítima do Cl0p ao menos duas vezes antes: em 2020, via vulnerabilidade no Accellion FTA, quando confirmou acesso a dados pessoais e corporativos; e em 2023, via MOVEit Transfer, quando o Cl0p publicou dados da empresa após esta recusar negociação. Em todos os casos anteriores, o padrão foi: (1) a Shell minimiza inicialmente, (2) a negociação falha ou não ocorre, (3) dados são publicados. Esse histórico não constitui prova de um terceiro comprometimento, mas é informação que qualquer CISO avaliando risco de 'naming' deve considerar.

A Philips, listada na mesma campanha, forneceu resposta mais informativa: confirmou 'tentativa de comprometimento' de um servidor interno específico e afirmou que ambientes de clientes não foram afetados. Isso representa um nível de transparência acima da Shell e implica que ao menos uma instância Windchill/FlexPLM foi atingida na campanha — ainda que o impacto tenha sido contido. A GE não respondeu aos pedidos de comentário até o fechamento das reportagens disponíveis.

Um detalhe que a cobertura dominante não perseguiu com suficiente rigor: a distância de quase dois meses entre a exploração ativa (junho) e a publicação das vítimas (agosto) é consistente com o ciclo operacional do Cl0p — o grupo historicamente aguarda exfiltrar, organizar e tentar negociação privada antes de publicar nomes. Isso significa que, se o comprometimento ocorreu, pode ter começado semanas antes de qualquer sinal visível. Organizações que dependem de Windchill/FlexPLM e não aplicaram o patch em junho devem tratar o período retrospectivo como janela de compromisso presumível.

Nenhum impacto confirmado a pessoas físicas ou a operações da Shell foi divulgado. Os tipos de dado alegados — desenhos de engenharia, plantas de instalações, planos de projeto — são ativos de propriedade intelectual industrial com alto valor estratégico para concorrentes e atores estatais, mas sem impacto direto imediato sobre titulares de dados pessoais. Se a exfiltração for confirmada, o risco primário é de exposição de segredos industriais, propriedade intelectual e informações operacionais de instalações de energia — não de vazamento de dados de clientes ou empregados no sentido convencional da LGPD/GDPR. A campanha mais ampla do Cl0p afeta ao menos 43 organizações listadas, com perfis similares de dados PLM em risco.