La semana pasada, la banda de extorsión Clop afirma haber extraído ochenta y nueve gigabytes de planos de ingeniería, informes de pruebas de instalaciones y archivos de proyectos solo de los sistemas de Shell, como parte de un botín que abarca 43 organizaciones y que también incluye a General Electric y Philips entre las víctimas, según BleepingComputer. Shell solo ha confirmado que está "al tanto de un posible incidente" y que está investigando con sus equipos de seguridad, según un comunicado de la compañía transmitido a dicho medio el 14 de agosto. La compañía no ha verificado las cifras de Clop ni ha descrito cómo los atacantes lograron acceder a los sistemas, pero la estructura de la campaña ya está bien documentada por investigadores independientes y apunta a una única vulnerabilidad de software que permaneció explotable durante semanas antes de que alguien con el poder de parchearla supiera que debía buscarla.
La vulnerabilidad que centra la campaña se identifica como CVE-2026-12569, un fallo de deserialización en el software Windchill y FlexPLM de PTC con una puntuación CVSS de 9,8 sobre 10. Windchill y FlexPLM son plataformas de gestión del ciclo de vida del producto que los equipos de ingeniería de sistemas y fabricación utilizan para almacenar y gestionar versiones de planos, listas de materiales, especificaciones de proveedores y presentaciones regulatorias. El propio centro de asesoramiento describe la vulnerabilidad subyacente como una ejecución remota de código activada por datos serializados no validados correctamente, lo que significa que un atacante con acceso a la red de un servidor expuesto puede ejecutar comandos arbitrarios sin necesidad de contraseña ni de engañar a un empleado para que haga clic en nada.
PTC comenzó a distribuir parches para CVE-2026-12569 el 17 de junio y reveló la vulnerabilidad ese mismo día, según una investigación de Censys publicada a finales de julio. La empresa de seguridad ReliaQuest informó haber observado a un atacante explotando activamente el fallo el 22 de julio. La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) añadió la vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas el 25 de junio y dio a las agencias federales un plazo de tres días para proteger sus instancias, según BleepingComputer . Lo que hace inusual esta cronología es la brecha que expone: varias cuentas describen intrusiones que comenzaron a principios de junio, lo que significa que los atacantes tuvieron aproximadamente seis semanas de acceso no detectado antes de que los correos electrónicos de extorsión de Clop, enviados a cientos de empleados de empresas objetivo alrededor del 20 de julio con el asunto "Fuga grave de datos en el módulo Windchill PDMLink", sacaran a la luz la brecha internamente.
Esa brecha no es casualidad en el modo de operar de Clop. El grupo, también rastreado bajo alias como Cl0p y FIN11, ha abandonado en gran medida el cifrado de archivos en sus campañas recientes, según informes recopilados por TechTimes. El cifrado activa alarmas de inmediato, los sistemas se bloquean, aparecen notas de rescate y los equipos de respuesta a incidentes se movilizan en cuestión de horas. El robo de datos puro no produce nada de eso. Un servidor Windchill comprometido sigue funcionando normalmente mientras los archivos abandonan la red silenciosamente, razón por la cual las víctimas de esta campaña no necesariamente sabían que algo andaba mal hasta que Clop se lo comunicó, semanas después. Este es el mismo modelo operativo que el grupo utilizó en su campaña MOVEit Transfer de 2023, que según el análisis de Emsisoft afectó a más de 2770 organizaciones, y en ataques anteriores contra el dispositivo de transferencia de archivos de Accellion y Oracle E-Business Suite.
La elección de la plataforma objetivo también es más importante que en una brecha de seguridad típica. Los registros de clientes pierden valor una vez que se cierran las cuentas y se reemiten las tarjetas. Los datos de ingeniería no se deprecian de la misma manera. Un plano para un componente de turbina, el plano de una planta farmacéutica o un archivo de diseño relacionado con la defensa conservan relevancia competitiva y, en algunos casos, de seguridad nacional de forma indefinida. Windchill PDMLink de PTC es utilizado por equipos de ingeniería y fabricación en más de 30 000 empresas, y FlexPLM, por sí solo, cuenta con más de 1500 marcas de ropa y minoristas entre sus clientes, según cifras citadas por TechTimes. Para los fabricantes de los sectores aeroespacial, de defensa e industrial, parte del material expuesto puede calificarse como datos técnicos controlados por las regulaciones de exportación de EE. UU., que conllevan obligaciones de informes independientes, independientemente de si una empresa decide negociar con los extorsionadores.
Los investigadores que rastrean la intrusión han publicado marcadores forenses concretos en lugar de especulaciones. Censys documentó un conjunto de direcciones IP y un rango CIDR vinculados a la campaña a partir de la actualización del propio aviso de PTC del 9 de julio, e identificó nuevas direcciones de contacto que Clop comenzó a usar en su sitio de filtración, según el informe de Censys. Otros investigadores catalogaron shells web insertados en el directorio de inicio de sesión de Windchill con nombres de archivo hexadecimales aleatorios, junto con un encabezado HTTP distintivo que los atacantes usaron durante la explotación, detalles que permiten a los defensores buscar en sus propios registros de forma retroactiva en lugar de esperar una notificación oficial de la brecha. Este tipo de verificación independiente es parte de la razón por la que la historia se mantiene a pesar de que Shell, GE y Philips se negaron a confirmar detalles específicos: la vulnerabilidad, el cronograma del parche y la ventana de explotación están documentados por PTC, CISA y múltiples equipos de investigación de seguridad independientemente de las propias afirmaciones de Clop.
También hay una segunda vulnerabilidad distinta de Windchill en el registro reciente, catalogada como CVE-2026-4681, que PTC reveló en marzo con una puntuación de gravedad inicial aún mayor. Según informes de SecurityAffairs, la Oficina Federal de Seguridad de la Información de Alemania advirtió a las empresas sobre esa falla anterior durante la noche, una medida inusualmente urgente para que una autoridad nacional de ciberseguridad se hiciera cargo de un solo producto de software empresarial. Enese momento, no se confirmó ninguna explotación relacionada con esa falla de marzo. La vulnerabilidad de junio que ahora impulsa las reclamaciones de Shell, GE y Philips es un error posterior e independiente en la misma familia de productos, un detalle importante para cualquier organización que intente determinar qué parche realmente cerró la puerta que usaron los atacantes. Dos fallas críticas de ejecución remota de código que surgieron en el mismo producto ampliamente implementado dentro de un solo trimestre fiscal es en sí mismo una señal que vale la pena destacar: sugiere que el código base subyacente que maneja datos serializados en Windchill tiene debilidades estructurales que es poco probable que un solo ciclo de parches resuelva por completo, en lugar de un error de codificación aislado.
Es probable que la lista de víctimas identificadas siga creciendo en lugar de estabilizarse. El formato del sitio de filtraciones de Clop, que publica un recuento continuo en lugar de una única divulgación, significa que las 43 organizaciones reconocidas hasta ahora representan una instantánea, no un recuento final, y los investigadores que han seguido al grupo a través de cinco campañas anteriores señalan que las listas de víctimas en estos sitios generalmente se actualizan durante semanas después de la publicación inicial mientras las negociaciones se estancan. General Electric y Philips no habían emitido declaraciones públicas hasta el momento de redactar este informe, y PTC tampoco había respondido a las solicitudes de comentarios transmitidas a través del informe de BleepingComputer. Ese silencio es común en los primeros días de un evento de extorsión masiva: las empresas generalmente esperan la confirmación forense antes de hacer comentarios públicos, tanto por razones legales como porque las declaraciones prematuras pueden complicar las negociaciones del rescate. Es probable que Clop siga operando en paralelo con la campaña de presión pública.
Para las empresas que utilizan Windchill o FlexPLM, la respuesta práctica va más allá de aplicar el parche de junio. Los investigadores de seguridad aconsejan a las organizaciones que busquen actividad sospechosa retroactivamente hasta principios de junio, ya que la aplicación del parche por sí sola no elimina un shell web que un atacante ya haya instalado semanas antes, y que conserven los registros forenses antes de restaurar cualquier sistema desde una copia de seguridad. Restaurar desde una copia de seguridad limpia soluciona el problema de la disponibilidad, pero no impide que se publiquen los datos ya robados, que es la verdadera ventaja que Clop está utilizando. Este episodio nos recuerda que, en una cadena de suministro basada en software empresarial compartido, un único fallo de deserialización sin parchear en una herramienta de ingeniería poco conocida puede poner simultáneamente a una importante empresa energética, un conglomerado industrial y un fabricante de dispositivos médicos en el mismo punto de filtración, no porque compartan una red, sino porque comparten un proveedor.
