Philips und GE untersuchen Clops Behauptungen über Datendiebstahl

Philips und General Electric untersuchen Behauptungen, wonach die Ransomware-Gruppe Clop Daten aus ihren Systemen gestohlen haben soll. Philips gibt an, einen versuchten Angriff auf einen internen Server eingedämmt zu haben, während GE den möglichen Vorfall weiterhin untersucht.

Clop hat beide Unternehmen zusammen mit Shell auf seiner Leak-Seite aufgeführt und behauptet, die Organisationen seien von Angriffen auf Systeme mit PTC Windchill und FlexPLM betroffen gewesen.

Philips: Vorfall hatte keine Auswirkungen auf Kunden

Philips bestätigt, einen versuchten Cyberangriff auf einen bestimmten Unternehmensserver für interne Daten entdeckt und eingedämmt zu haben.

Nach Angaben des Unternehmens waren Kundenumgebungen von dem Vorfall nicht betroffen. Philips hat jedoch nicht öffentlich bestätigt, auf welche Daten die Angreifer möglicherweise zugreifen oder welche Informationen sie entwenden konnten.

Auch GE hat die Behauptungen zur Kenntnis genommen. Ein Sprecher erklärte, das Unternehmen sei über den mutmaßlichen Vorfall informiert und untersuche derzeit die möglichen Auswirkungen.

Shell untersucht einen separaten möglichen Sicherheitsvorfall, nachdem Clop behauptet hatte, 89 GB an Unternehmensdaten gestohlen zu haben. Keines der drei Unternehmen hat bislang das vollständige Ausmaß des mutmaßlichen Datendiebstahls bestätigt.

Clop bringt Angriffe mit Schwachstelle in PTC-Software in Verbindung

Die Behauptungen von Clop über den Datendiebstahl scheinen mit einer Kampagne zusammenzuhängen, die CVE-2026-12569 ausnutzt. Dabei handelt es sich um eine kritische Schwachstelle in über das Internet erreichbaren Instanzen von PTC Windchill und PTC FlexPLM.

Windchill und FlexPLM sind Plattformen für das Produktlebenszyklusmanagement, die unter anderem in der Luft- und Raumfahrt, der Verteidigungsindustrie, der Automobilbranche, im Einzelhandel, im Maschinenbau und in der Medizintechnik eingesetzt werden.

PTC veröffentlichte am 17. Juni Sicherheitsupdates für die Schwachstelle und riet Kunden, ihre Systeme auf Anzeichen einer Kompromittierung zu überprüfen. Sicherheitsforscher bestätigten später, dass Clop die Schwachstelle bei Angriffen ausgenutzt hatte.

Die Gruppe soll JSP-Webshells auf kompromittierten Systemen installiert haben. Dadurch konnte sie auf sensible Dateien zugreifen und diese aus den betroffenen Systemen abziehen.

Angreifer behaupten, Projekt- und Konstruktionsdateien zu besitzen

Clop behauptet, eine breite Palette von Informationen betroffener Organisationen erbeutet zu haben. Zu den angeblich gestohlenen Daten gehören Backups, Projektpläne, Fotos von Anlagen, technische Zeichnungen, Diagramme und Baupläne.

Diese Behauptungen sind bislang nicht bestätigt. Einträge auf Leak-Seiten und Aussagen von Ransomware-Gruppen beweisen für sich genommen nicht, dass Angreifer tatsächlich auf die beschriebenen Daten zugreifen konnten.

Dennoch haben Clops Behauptungen über den Datendiebstahl Aufmerksamkeit erregt, da die betroffene Software von großen Organisationen weltweit eingesetzt wird. CISA hat die aktive Ausnutzung der Schwachstelle bestätigt und US-Bundesbehörden angewiesen, anfällige Systeme innerhalb von drei Tagen abzusichern, nachdem die Sicherheitslücke in den Known Exploited Vulnerabilities Catalog aufgenommen wurde.

Auch das deutsche Bundesamt für Sicherheit in der Informationstechnik hat eine dringende Warnung herausgegeben und PTC-Kunden dazu aufgefordert, die Sicherheitsupdates so schnell wie möglich zu installieren.

Clop greift weiterhin Unternehmensplattformen an

Clop hat wiederholt Schwachstellen in weit verbreiteter Unternehmenssoftware ausgenutzt, um Daten zu stehlen und Opfer mit Lösegeldforderungen unter Druck zu setzen.

Frühere Kampagnen richteten sich gegen Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U, Cleo und MOVEit Transfer. Die MOVEit-Kampagne der Gruppe traf Tausende Organisationen weltweit.

Die Gruppe nutzte 2025 außerdem eine Zero-Day-Schwachstelle in Oracle E-Business Suite aus. Zu den mutmaßlichen Opfern gehörten große Medienkonzerne, Universitäten, Fluggesellschaften und Technologieunternehmen.

US-Behörden bieten eine Belohnung von bis zu 10 Millionen US-Dollar für Informationen, die Clops Aktivitäten mit einer ausländischen Regierung in Verbindung bringen.