ランサムウェアグループ Clop、PTC製品の脆弱性を悪用しShell・GE・Philipsなど43組織へ不正アクセスを主張 CISA・独BSIも緊急警戒|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月19日更新日時: 2026年08月19日

ランサムウェアグループ Clop、PTC製品の脆弱性を悪用しShell・GE・Philipsなど43組織を侵害と主張 CISA・独BSIも緊急警戒

ランサムウェアグループClop（Cl0p）が、製品ライフサイクル管理（PLM）ソフトウェア「PTC Windchill」「PTC FlexPLM」に存在する脆弱性を悪用し、石油大手Shell、複合企業GE（ゼネラル・エレクトリック）、電機大手Philipsを含む43組織からデータを窃取したと主張しています。GEとPhilipsはこの主張について調査中であることを認め、Philipsは実際に社内サーバーへの侵害があったものの、影響は限定的だったと説明しています。MOVEit・Oracle E-Business Suiteなど、企業向けソフトウェアを狙った大規模な恐喝キャンペーンを繰り返してきたClopの、最新の攻撃対象として注目されています。

この記事のサマリー

Clopは、PTC WindchillおよびPTC FlexPLMのインターネット公開インスタンスを狙い、不適切な入力検証に起因する重大な脆弱性CVE-2026-12569を悪用したデータ窃取攻撃を行ったと主張しています。
同グループはリークサイト上に、Shell・GE・Philipsを含む43組織を新たな被害者として掲載しました。
GE広報担当者は、この主張を把握しており「潜在的な問題の評価に取り組んでいる」とコメントしています。
Philips広報担当者は、社内データに関連する特定のエンタープライズサーバーへのサイバーセキュリティ侵害の試みを特定し、封じ込めたと説明しており、顧客環境への影響はないとしています。
Shellも、Clopが89GBのデータを窃取したと主張したことを受け、「潜在的なインシデント」を調査していると認めています。
Clopは、Shell・GE・Philipsから、バックアップデータ、プロジェクト計画書、施設の写真、図面、設計図などの機密性の高いデータを窃取したと主張しています。
PTCは、Windchill・FlexPLMが航空宇宙・防衛・自動車・重機・小売・医療技術など幅広い業界の著名企業で使われており、世界で3万社超が利用、FlexPLMだけでも1,500社超のブランド・小売顧客が利用していると説明しています。
PTCは2026年6月17日から修正パッチの提供を開始し、当時は実際の悪用の確認はないとしつつ非公開のアドバイザリで顧客に侵害の痕跡（IOC）の確認を促していました。その後、セキュリティ企業ReliaQuestとランサムウェア情報共有分析センター（Ransom-ISAC）が、ClopによるWindchill・FlexPLMへの攻撃を確認しています。
米CISAは、この脆弱性が実際に悪用されていることを確認し、既知の悪用済み脆弱性（KEV）カタログに追加、米連邦機関に3日以内の対応を義務付けました。ドイツの連邦情報セキュリティ庁（BSI）も、深夜にPTC顧客へ緊急のパッチ適用を呼びかけています。

整理表

項目	内容
公表日	2026年8月17日（BleepingComputerの報道）
攻撃グループ	Clop（Cl0p）
悪用された脆弱性	CVE-2026-12569（不適切な入力検証、重大）
対象製品	PTC Windchill、PTC FlexPLM（製品ライフサイクル管理ソフトウェア）
新たに掲載された被害組織数	43組織
名指しされた主要企業	Shell、GE（ゼネラル・エレクトリック）、Philips
GEの対応	主張を把握し評価中とコメント
Philipsの対応	社内サーバーへの侵害の試みを確認・封じ込め済み、顧客環境への影響なしと説明
Shellの対応	「潜在的なインシデント」を調査中、Clopは89GBのデータ窃取を主張
主張された窃取データ	バックアップ、プロジェクト計画書、施設写真、図面、設計図等
PTC製品の利用規模	世界で3万社超、FlexPLMのみで1,500社超のブランド・小売顧客
パッチ提供開始日	2026年6月17日
独立した悪用確認	ReliaQuest、Ransom-ISACが攻撃を確認、JSP Webシェルを展開する手口を報告
CISAの対応	KEVカタログに追加、米連邦機関に3日以内の対応を義務付け
ドイツBSIの対応	深夜の緊急警戒、迅速なパッチ適用を要請
Clopへの懸賞金	米国務省が外国政府との関連情報に1,000万ドルの報奨金を提示

何が起きたか

BleepingComputerの報道によると、複合企業GEと電機大手Philipsは、Clopランサムウェアグループが自社システムに侵入しデータを窃取したとする主張について、調査していることを認めました。GEの広報担当者は、この主張を把握しており「潜在的な問題の評価に取り組んでいる」とコメントしています。Philipsの広報担当者は、侵害があったことを認めたうえで、事案は既に封じ込められ、顧客には影響していないと説明しました。Philipsはロイターに対する声明で「Philipsは、社内データに関連する特定のエンタープライズサーバーへのサイバーセキュリティ侵害の試みを特定し、封じ込めた。これは顧客環境には一切影響していない」と述べています。

これに先立つ形で、石油大手Shellも、Clopが89GBのデータを窃取したと主張したことを受け、「潜在的なセキュリティインシデント」を調査していることを明らかにしていました。Shellの広報担当者はBleepingComputerに対し、「潜在的なインシデントを把握している。セキュリティチームおよび関連の専門家と協力し、調査を進めている」と述べています。

3社とも詳細な情報はまだ明らかにしていませんが、Clopはリークサイト上で、この3社を含む43組織を、新たな被害者として一括で掲載しています。同グループは、インターネットに公開されたPTC WindchillおよびPTC FlexPLMのインスタンスを狙い、不適切な入力検証に起因する重大な脆弱性CVE-2026-12569を悪用したデータ窃取攻撃で、これらの組織を標的にしたとみられています。

PTC Windchill・FlexPLMとは、幅広い業界で使われる基幹ソフトウェア

PTCによると、WindchillとFlexPLMは、航空宇宙・防衛・自動車・重機・小売・医療技術など、幅広い業界の著名企業で広く使われている、企業向けの製品ライフサイクル管理（PLM）ソフトウェアです。同社の製品は世界で3万社超が利用しており、FlexPLMだけでも1,500社超のブランド・小売顧客が利用しているとされています。

今回の攻撃でClopは、Shell・GE・Philipsから、バックアップデータ、プロジェクト計画書、施設の写真、図面、設計図など、幅広い機密性の高いデータを窃取したと主張しています。

PTCは2026年6月17日からCVE-2026-12569の修正パッチの提供を開始しました。この時点では実際の悪用は確認されていないとしつつも、非公開のアドバイザリを通じて、顧客に対し自社環境における侵害の痕跡（IOC）を確認するよう呼びかけていました。その後、セキュリティ企業ReliaQuestと、ランサムウェア情報共有分析センター（Ransom-ISAC）が、ClopによるWindchillおよびFlexPLMへの攻撃を確認しています。両者によると、攻撃者はJSP形式のWebシェルを展開し、侵害したPLMプラットフォームから機密データを窃取する手口を用いているとされています。

米CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）も、PTCが6月26日に「脅威活動の高まり」を警告した後、この脆弱性が実際の攻撃で悪用されていることを確認しました。CISAは同脆弱性を既知の悪用済み脆弱性（KEV）カタログに追加し、米連邦機関に対して3日以内にPTC WindchillおよびFlexPLMのインスタンスを保護するよう義務付けています。この脆弱性は、ドイツの連邦情報セキュリティ庁（BSI）による緊急対応も引き起こしました。BSIは深夜にPTC顧客へ連絡を取り、可能な限り迅速なパッチ適用を呼びかけたとされています。

MOVEit・Oracle EBSに続く、Clopの企業向けソフトウェア攻撃の系譜

Clopの恐喝グループは、企業向けプラットフォームを狙ったデータ窃取攻撃で長い実績を持っています。過去には、Accellion FTA、GoAnywhere MFT、SolarWinds Serv-U FTP、Cleo、MOVEit Transferといったファイル共有製品を標的にしたキャンペーンを展開してきました。このうちMOVEit Transferを狙った攻撃では、世界で2,770組織超が影響を受けたと報告されています。

当サイトでもこれまで、Clopの攻撃キャンペーンを継続的に取り上げてきました。2025年8月上旬から、Clopが悪用したOracle E-Business Suite（EBS）のゼロデイ脆弱性（CVE-2025-61882、CVE-2025-61884）による攻撃キャンペーンでは、ワシントンポスト、ハーバード大学、ペンシルベニア大学、Logitech、Estée Lauder、大韓航空、アメリカン航空子会社のEnvoy Airなど、世界の著名組織が相次いで被害を公表しました。日本企業への影響についても、キヤノンの米国子会社への攻撃や、マツダへの影響有無の公表を報じています。詳細はOracle EBSのサイバー攻撃キャンペーン、Cl0p(Clop)が30社をリークサイトに掲載(CVE-2025-61882,CVE-2025-61884)、ワシントンポスト、Oracle EBSへのサイバー攻撃で9,720名の個人情報流出-ハッカーグループ Cl0p(Clop)が関与か、キヤノン、ハッカーグループ Clop(Cl0p)が米国子会社へサイバー攻撃を行ったと発表-Oracle EBSの脆弱性を悪用かで解説しています。

今回のPTC Windchill・FlexPLMを狙った攻撃は、Clopが標的とするソフトウェアのカテゴリーを、ファイル転送製品・ERPパッケージから、製品設計・開発の中核を担うPLMソフトウェアへとさらに広げたことを示しています。米国務省は現在、Clopの攻撃と外国政府との関連を示す情報に対し、1,000万ドルの懸賞金を提示しています。

情報システム部門が確認すべき対策ポイント

自社でPTC WindchillまたはPTC FlexPLMを利用している場合、CVE-2026-12569の修正パッチ（2026年6月17日公開開始）が適用されているか、直ちに確認してください。
パッチ未適用の期間にインターネットへ公開されていたインスタンスがあった場合、JSP形式のWebシェルの設置など、侵害の痕跡（IOC）がないか確認してください。PTCの非公開アドバイザリや、ReliaQuest・Ransom-ISACが公表している情報を参照することをおすすめします。
WindchillやFlexPLMには、設計図・図面・プロジェクト計画書など、自社の競争力に直結する機密情報が保存されている場合が多くあります。侵害が確認された場合の影響範囲を、単なる個人情報漏洩にとどめず、営業秘密・知的財産の観点からも評価してください。
CISAの既知の悪用済み脆弱性（KEV）カタログを定期的に確認し、自社が利用する製品が新たに追加されていないか、優先度の高い監視対象としてください。
過去のMOVEit・Oracle EBSの事例が示すとおり、Clopは同一の攻撃パターン（ファイル転送・基幹業務ソフトウェアのゼロデイ・Nデイ脆弱性を悪用した大量データ窃取）を繰り返す傾向があります。自社が利用する同種のエンタープライズソフトウェアについても、ベンダーからの脆弱性情報を継続的に監視してください。