Cl0p dice haber robado datos de casi 50 grandes empresas
El grupo incluye entre sus supuestas víctimas a Shell, Philips, GE y Fiserv. Shell investiga un posible incidente, pero ni el alcance ni los datos que Cl0p afirma haber obtenido se han confirmado públicamente.
¿Qué ha pasado?
Cl0p ha atribuido su nueva campaña de robo de datos a servidores de PTC Windchill y FlexPLM. La actividad de explotación está documentada; la lista concreta de víctimas y el volumen de información robada siguen siendo, en varios casos, alegaciones del propio grupo.
La distinción importa: que una empresa investigue un incidente no confirma todavía una filtración ni permite saber qué información pudo verse afectada.
¿Cómo ocurrió?
Los atacantes explotaron sistemas PTC expuestos a Internet. La cadena descrita por Ransom-ISAC combina una filtración de información previa a la autenticación en FlexPLM con CVE-2026-12569, una vulnerabilidad crítica de ejecución remota de código en Windchill y FlexPLM. Después desplegaron webshells JSP para buscar y extraer datos.
PTC publicó parches e indicadores de compromiso y pide aplicarlos de inmediato. Esto no parece una selección artesanal de Shell: el patrón consiste en localizar un mismo producto vulnerable presente en muchas organizaciones y escalar desde ahí.
Los atacantes no necesitan elegir primero tu empresa. Pueden elegir la aplicación que compartes con cientos de empresas y encontrarte después.
¿Qué podemos aprender?
Tener buenos controles internos no basta si una aplicación crítica o un proveedor tecnológico queda fuera del inventario, del parcheo urgente o de la supervisión. La pregunta útil no es solo «¿estamos protegidos?», sino «¿sabemos qué tenemos expuesto, de quién depende y cómo nos enteramos cuando aparece una vulnerabilidad crítica?».
Si utilizas Windchill o FlexPLM, revisa ahora la versión instalada, aplica las correcciones de PTC y busca los indicadores publicados desde principios de junio de 2026. Si no utilizas estos productos, el ejercicio sigue siendo válido: identifica el software crítico expuesto a Internet y exige a sus responsables un proceso verificable de gestión de vulnerabilidades e incidentes.
En la metodología para evaluar la ciberseguridad de proveedores explico cómo inventariar, clasificar y revisar terceros. Cuando sepas cuáles son críticos, usa Basic VRM Form para generar el cuestionario de seguridad que corresponde a cada uno.
Evalúa al proveedor antes de que una vulnerabilidad decida por ti
Clasifica al tercero, selecciona lo que le aplica y genera un cuestionario en PDF rellenable. Todo se procesa en tu navegador.
Crear un cuestionario VRM →Fuente técnica primariaAviso de seguridad de PTC para Windchill y FlexPLM · Ransom-ISAC: explotación de CVE-2026-12569 por Cl0p
Empresas citadas y estado de sus investigacionesTechNadu: alegaciones sobre Shell, Philips, GE y Fiserv
Información revisada el 17 de agosto de 2026. Las afirmaciones de un grupo de extorsión no se presentan como una filtración confirmada mientras no exista corroboración independiente o de la organización afectada.