Shell untersucht möglichen Sicherheitsvorfall nach Clops Behauptung über Diebstahl von 89 GB Daten

Shell untersucht einen möglichen Cybervorfall, nachdem die Ransomware-Gruppe Clop behauptet hat, 89 GB Daten des Energiekonzerns gestohlen zu haben.

Der mutmaßliche Datendiebstahl bei Shell ist Teil einer größeren Kampagne gegen mit dem Internet verbundene PTC-Windchill- und FlexPLM-Systeme. Clop hat Dutzende Organisationen auf seiner Leak-Seite veröffentlicht und behauptet, sensible Unternehmensdateien mehrerer großer Konzerne erbeutet zu haben.

Shell bestätigt Untersuchung

Ein Sprecher von Shell bestätigte, dass das Unternehmen die Behauptungen kennt und eine Untersuchung eingeleitet hat.

„Wir sind uns eines möglichen Vorfalls bewusst“, sagte der Sprecher. „Wir arbeiten mit unseren Sicherheitsteams und relevanten Experten zusammen, um den Vorfall zu untersuchen.“

Shell hat bislang nicht bestätigt, dass Angreifer auf seine Systeme zugegriffen oder Daten entwendet haben. Das Unternehmen hat auch keine Angaben dazu gemacht, wie es zu dem möglichen Vorfall gekommen sein könnte.

Clop behauptet jedoch, Konstruktionszeichnungen, Berichte über Anlagentests, Fotos von Anlagen und Projektpläne gestohlen zu haben. Die Gruppe führte Shell zusammen mit 42 weiteren Unternehmen als eines von 43 neuen mutmaßlichen Opfern auf ihrer Leak-Seite im Dark Web auf.

Shell ist in mehr als 70 Ländern tätig und beschäftigt rund 85.000 Mitarbeiter. Zum weltweiten Netzwerk des Unternehmens gehören Tausende Tank- und Ladestationen, die täglich mehr als 20 Millionen Kunden bedienen.

Clop nimmt PTC Windchill und FlexPLM ins Visier

Der mutmaßliche Datendiebstahl bei Shell scheint mit Angriffen auf öffentlich über das Internet erreichbare PTC-Windchill- und FlexPLM-Installationen zusammenzuhängen.

Angreifer haben CVE-2026-12569 ausgenutzt, eine kritische Schwachstelle aufgrund unzureichender Eingabevalidierung. Sie betrifft die Unternehmensplattformen zur Verwaltung des Produktlebenszyklus. PTC begann am 17. Juni mit der Veröffentlichung von Sicherheitsupdates für die Schwachstelle.

Später warnte das Unternehmen seine Kunden vor verstärkten Bedrohungsaktivitäten und forderte sie auf, ihre Umgebungen auf Anzeichen einer Kompromittierung zu überprüfen. Obwohl PTC eine aktive Ausnutzung zunächst nicht bestätigte, nahmen US-Behörden die Schwachstelle später in den Known Exploited Vulnerabilities Catalog auf.

CISA wies US-Bundesbehörden an, anfällige Windchill- und FlexPLM-Installationen innerhalb von drei Tagen abzusichern. Auch das deutsche Bundesamt für Sicherheit in der Informationstechnik veröffentlichte eine dringende Warnung und forderte betroffene Organisationen auf, ihre Systeme so schnell wie möglich zu aktualisieren.

Weitere große Unternehmen auf der Liste

Clop behauptete außerdem, im Rahmen derselben Kampagne sensible Dateien von General Electric und Philips gestohlen zu haben. Nach Angaben der Gruppe umfassen die Daten Backups, Systemdaten, Projekte, Zeichnungen, Diagramme und technische Pläne.

Zum Zeitpunkt der Berichterstattung hatte keines der beiden Unternehmen öffentlich einen Vorfall bestätigt.

Ransom-ISAC und das Cybersicherheitsunternehmen ReliaQuest haben Clop mit Angriffen in Verbindung gebracht, bei denen die PTC-Schwachstelle ausgenutzt wurde. Laut ReliaQuest installierten die Angreifer JSP-Webshells auf kompromittierten Systemen. Dadurch konnten sie auf die betroffenen Plattformen zugreifen und Daten entwenden.

Warum Windchill und FlexPLM attraktive Ziele sind

PTC Windchill und FlexPLM helfen Unternehmen dabei, Produkte während des gesamten Fertigungsprozesses zu entwickeln, zu verfolgen und zu verwalten.

Teams aus den Bereichen Entwicklung, Fertigung, Qualität und Lieferkette nutzen die Plattformen unter anderem in der Luft- und Raumfahrt, Verteidigungsindustrie, Automobilbranche, im Maschinenbau, Einzelhandel und in der Medizintechnik. Da die Systeme Produktpläne, technische Dateien und interne Dokumente enthalten können, bieten sie Angreifern potenziell wertvolle Daten für Erpressungsversuche.

Nach Angaben von PTC nutzen weltweit mehr als 30.000 Kunden die Produkte des Unternehmens. Dazu gehören mehr als 1.500 Einzelhandels- und Markenkunden, die FlexPLM einsetzen.