エネルギー大手シェル、ランサムウェアグループClopのサイバー攻撃主張を受け、情報漏洩の調査を開始|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月18日更新日時: 2026年08月18日

英エネルギー大手シェル（Shell plc）が、ランサムウェアグループClop（Cl0p）によるデータ窃取の主張を受け、潜在的なセキュリティインシデントの調査を進めていることが2026年8月14日までに分かりました。

Clopはシェルから約89GBのデータを窃取したと主張し、エンジニアリング図面、施設試験レポートのスキャン、施設写真、プロジェクト計画などが含まれるとしています。シェルは同メディアの取材に対し、潜在的なインシデントを認識し、セキュリティチームや専門家と調査していると回答しました。

ただし、シェルは現時点で情報流出を公式に確認しておらず、89GBというデータ量やClopが示したファイル内容の真正性も確認されていません。また、PTC Windchill／FlexPLMの脆弱性CVE-2026-12569を侵入経路として利用されたかどうかも、シェルからは公表されていません。

シェルへのClop犯行声明のサマリー

確認済みの事実

シェルはBleepingComputerの取材に対し、「潜在的なインシデント」を認識し、セキュリティチームや専門家と調査していると回答しました。
PTCはWindchill PDMLinkおよびFlexPLMに影響する重大なRCE脆弱性CVE-2026-12569を2026年6月17日に公表しています。
CVE-2026-12569は、信頼できないデータのデシリアライゼーションなどに関連し、認証されていない攻撃者によるリモートコード実行につながる可能性があります。
PTCは6月18日以降、JSP WebシェルやC2通信など、実際の侵害調査で利用できるIOCを順次公開しています。
PTCは6月25日、「heightened threat activity（脅威活動の高まり）」を確認したとして、パッチ適用とIOC確認を改めて要請しました。
CISAは6月25日、CVE-2026-12569をKnown Exploited Vulnerabilities（KEV）Catalogに追加しました。
Ransom-ISACは、インターネット公開されたWindchill／FlexPLMを狙うClop関連の攻撃活動を確認し、JSP Webシェルの設置やデータ窃取を伴う侵害について報告しています。
セキュリティ対策Labでは7月28日、CVE-2026-12569を悪用するClop関連キャンペーンについて報じています。

現時点で確認できない事項

シェルから実際にデータが窃取されたかどうか
Clopが主張する約89GBというデータ量の真正性
公開・提示されたとされるファイルがシェルから窃取されたものかどうか
シェルのどのシステムまたは拠点が影響を受けたのか
シェルがPTC WindchillまたはFlexPLMの脆弱性CVE-2026-12569を経由して侵害されたかどうか
不正アクセスの発生時期
顧客情報や従業員情報など個人データへの影響
システム暗号化など、一般的なランサムウェア被害が発生したかどうか

項目	内容
対象組織	シェル（Shell plc）
公表・報道時期	2026年8月14日
インシデント	シェルが「潜在的なインシデント」を調査中
犯行声明	Clop（Cl0p）がシェルからデータを窃取したと主張
攻撃者主張のデータ量	約89GB。Shellによる確認はなし
攻撃者主張の内容	エンジニアリング図面、施設試験レポート、施設写真、プロジェクト計画など
情報流出	シェルは現時点で公式確認していない
想定される関連脆弱性	CVE-2026-12569との関連が指摘されているが、シェルの侵入経路としては未確認
CVSS	CVSS v4.0 9.3（PTC評価）、CVSS v3.1 9.8（NVD）
影響製品	PTC Windchill PDMLink、PTC FlexPLM
悪用確認	CISA KEV掲載。PTCもIOCと脅威活動の高まりを公表
Shell側の対応	セキュリティチーム、関係専門家と調査
個人情報への影響	確認できませんでした
業務影響	確認できませんでした

Clopがシェルから89GBを窃取したと主張

2026年8月14日、Clopがデータリークサイト上でシェルを掲載し、約89GBのデータを窃取したと主張しています。

エネルギー大手シェル、ランサムウェアグループClopのサイバー攻撃主張を受け、情報漏洩の調査を開始

Clopの主張では、窃取したとするデータにはエンジニアリング図面、施設試験レポートのスキャン、施設の写真、プロジェクト計画などが含まれるとされています。

これらの情報は現時点では攻撃者側の主張です。シェルが89GBの情報流出を認めたわけではなく、公開されたとされるデータの真正性を第三者が確認したとの公式情報も確認できませんでした。

したがって、本件について「Shellで89GBの情報漏えいが発生した」と断定することはできません。

シェルは「潜在的なインシデント」を調査中

シェルはBleepingComputerからの問い合わせに対し、潜在的なインシデントを認識しており、セキュリティチームや関係する専門家と調査を進めていると回答しました。

この回答から確認できるのは、シェルが何らかのセキュリティ上の事象について調査を行っているという点までです。

データ窃取の有無、影響を受けたシステム、侵入経路、影響範囲、個人情報への影響などは明らかになっていません。また、システムの暗号化や業務停止が発生したとの情報も確認できませんでした。

Clopはランサムウェアグループとして知られていますが、今回のシェルの件を現時点で「ランサムウェア被害」と表現するのは適切ではありません。公表されているのはデータ窃取の主張であり、ランサムウェアによる暗号化などは確認されていないためです。

PTC Windchill・FlexPLMへのClop攻撃が背景

今回のシェルへの犯行声明は、PTC WindchillおよびFlexPLMを狙ったClop関連のデータ窃取キャンペーンとの関連が指摘されています。

PTCは2026年6月17日、Windchill PDMLinkおよびFlexPLMに重大なリモートコード実行の脆弱性CVE-2026-12569が存在すると公表しました。

NVDによると、CVE-2026-12569は信頼できないデータのデシリアライゼーションを通じて悪用される可能性があるRCE脆弱性です。PTCによるCVSS v4.0評価は9.3、NVDのCVSS v3.1評価は9.8で、いずれもCriticalに分類されています。

PTCは6月18日、Windchillのログインディレクトリに永続的なJSP Webシェルが設置され、リモートコマンド実行やデータ持ち出しにつながる可能性があるとしてIOCを公表しました。

6月25日には、数時間にわたり脅威活動の高まりに関する報告が続いているとして、顧客にパッチ適用と環境確認を強く求めています。

CISAはCVE-2026-12569をKEVへ追加

米CISAは2026年6月25日、CVE-2026-12569について実際の攻撃で悪用されている証拠があるとして、Known Exploited Vulnerabilities Catalogへ追加しました。

NVDでは、PTC Windchill PDMLinkおよびFlexPLMの複数バージョンが影響対象として登録されています。11.0 M030以前のリリースも影響を受けるとされています。

PTCは対象バージョン向けの修正と緩和策を順次公開し、7月14日にも複数バージョン向けの重要なセキュリティパッチを公開しています。

CVE-2026-12569は「悪用されている可能性がある」段階ではなく、KEVに登録された実悪用確認済みの脆弱性として扱う必要があります。

Ransom-ISACはClop関連の侵害とデータ窃取を報告

Ransom-ISACは7月22日に公開し、8月14日に更新した脅威アドバイザリで、インターネットに公開されたPTC WindchillおよびFlexPLMを標的とするClop関連の攻撃活動を報告しています。

同組織によると、確認された侵害ではWindchill環境へのJSP Webシェル設置、ファイルシステムの列挙、エンジニアリング・設計データのステージング、データ窃取などが確認されています。

また、7月20日ごろから、侵害されたとみられる組織に対してWindchillのデータ漏えいを主張する恐喝メールが送信されていることも確認したとしています。

Ransom-ISACは、CVE-2026-12569が2026年6月初旬にゼロデイとして悪用された可能性が高いとの分析も示しています。ただし、このゼロデイ評価はRansom-ISACの分析であり、PTCやCISAが「シェルへの攻撃でゼロデイとして使われた」と確認したものではありません。

シェルとCVE-2026-12569の関連は未確認

BleepingComputerは、シェルがClopのデータリークサイトに追加された複数組織の一つであり、PTC Windchill／FlexPLMを狙う一連の攻撃との関連が考えられると報じています。

しかし、ここは慎重に切り分ける必要があります。

PTC製品にCVE-2026-12569が存在すること、同脆弱性が実際に悪用されていること、Clop関連の攻撃活動でWindchill／FlexPLM環境からデータが窃取されていることは、それぞれ一次情報で確認できます。

一方で、シェルがCVE-2026-12569を悪用されて侵害されたという事実は、Shell、PTC、CISAのいずれからも公表されていません。

そのため現時点では、「ClopによるWindchill／FlexPLM攻撃キャンペーンとの関連が指摘されているものの、シェルの侵入経路は未確認」とするのが適切です。

製造・エネルギー企業ではPLM内の設計情報が高価値データに

PTC WindchillやFlexPLMは、製品ライフサイクル管理（PLM）に利用されるシステムです。

PLMには製品設計、図面、仕様、部品構成、品質管理、試験、プロジェクトなど、事業の中核に関わる情報が集約される場合があります。そのため、PLMへの侵害では個人情報だけでなく、設計情報や知的財産、施設に関する技術情報が窃取対象となる可能性があります。

今回Clopがシェルから窃取したと主張している情報も、エンジニアリング図面や施設試験レポート、プロジェクト計画など、PLMで管理され得る性質の情報です。

ただし、この類似性だけを根拠にシェルがWindchill経由で侵害されたと判断することはできません。

セキュリティ対策Labでは、ClopによるPTC製品を狙った攻撃について、7月28日の記事で詳しく解説しています。

ランサムウェアグループ Clop（Cl0p）がPTC Windchill・FlexPLMを標的にデータ窃取攻撃-CVE-2026-12569（CVSS 9.3）を悪用、製造業の製品設計データが狙われる

情報システム部門への示唆

WindchillまたはFlexPLMを利用している組織は、単にパッチを適用済みかどうかだけではなく、すでに侵害されていないかを確認する必要があります。

CVE-2026-12569はCISAのKEVに登録されており、PTCも実際の攻撃に関連するIOCを継続的に更新しています。インターネットへ公開している環境では、PTCが示すIOCやログの確認、Webシェルなど不審ファイルの有無、異常な外部通信、想定外の大容量データ送信などを調査することが重要です。

また、パッチ適用前からインターネット公開されていた環境については、「現在は修正版だから安全」と判断せず、少なくともPTCやRansom-ISACが攻撃活動を確認している2026年6月初旬まで遡ってログを確認する必要があります。

PLMは設計・製造・研究開発・品質管理・サプライチェーンなど複数部門の機密データが集中するシステムです。侵害時には情報システム部門だけでなく、設計部門、製造部門、法務、知財、輸出管理、事業継続などを含めて影響範囲を評価する体制が求められます。

シェルについては現時点で調査中です。Clopの犯行声明をそのまま被害確定情報として扱わず、シェルからの追加公表や法定開示、PTCなど関係事業者からの情報を継続して確認する必要があります。