La multinacional energética Shell ha confirmado que está investigando un posible incidente de seguridad después de que el grupo de ransomware Clop afirmara haber robado aproximadamente 89 GB de información de la compañía.
Por el momento, Shell no ha confirmado públicamente que los datos hayan sido sustraídos, pero sí reconoce que está investigando el incidente junto con sus equipos de seguridad y especialistas externos.
Clop asegura haber robado 89 GB de datos
La información publicada por Clop en su sitio de filtraciones de la dark web apunta a que los atacantes habrían obtenido numerosos documentos relacionados con las operaciones de Shell.
Entre los archivos supuestamente robados se encontrarían:
- Planos de ingeniería.
- Informes de pruebas de instalaciones.
- Fotografías de infraestructuras.
- Planes de proyectos.
- Documentación técnica.
Se trata de información especialmente sensible para una compañía energética de esta dimensión, ya que algunos de estos documentos podrían revelar detalles sobre instalaciones, proyectos o procesos industriales.
Shell, sin embargo, todavía no ha confirmado exactamente qué información habría sido comprometida.
El posible origen: PTC Windchill y FlexPLM
La acusación de Clop forma parte de una campaña mucho más amplia dirigida contra sistemas empresariales PTC Windchill y PTC FlexPLM. Ambas plataformas se utilizan para gestionar información relacionada con el ciclo de vida de productos y son especialmente habituales en sectores industriales.
El ataque habría aprovechado una vulnerabilidad crítica identificada como CVE-2026-12569, relacionada con una validación incorrecta de entradas. La vulnerabilidad permite comprometer determinados sistemas expuestos a Internet y ha sido objeto de ataques reales.
Una campaña contra grandes empresas
Shell no sería la única organización afectada. Clop también ha afirmado haber robado información de compañías como General Electric y Philips utilizando esta misma campaña.
El grupo asegura haber obtenido diferentes tipos de información, incluyendo copias de seguridad, archivos del sistema, proyectos, dibujos técnicos, diagramas y planos. En total, Clop habría incluido 43 nuevas víctimas en su sitio de filtraciones relacionadas con los ataques contra instalaciones de Windchill y FlexPLM.
Aunque, como ocurre habitualmente con las publicaciones de grupos de extorsión, las afirmaciones de los atacantes deben ser verificadas independientemente antes de considerar confirmados todos los datos.
PTC lanzó parches de seguridad
El fabricante de las plataformas afectadas, PTC, comenzó a distribuir parches para CVE-2026-12569 el 17 de junio.
Aunque inicialmente la compañía no confirmó que la vulnerabilidad estuviera siendo explotada activamente, también publicó recomendaciones privadas para que sus clientes revisaran sus sistemas en busca de posibles indicadores de compromiso.
La situación cambió pocos días después.
El 26 de junio, PTC alertó de una actividad de amenazas elevada, y posteriormente la Cybersecurity and Infrastructure Security Agency (CISA) confirmó que la vulnerabilidad estaba siendo explotada en ataques reales. La vulnerabilidad fue añadida al catálogo de Known Exploited Vulnerabilities (KEV) de CISA.
Las autoridades reaccionaron con rapidez
La gravedad de la vulnerabilidad provocó también reacciones fuera de Estados Unidos. Las autoridades alemanas emitieron advertencias urgentes a los administradores de sistemas PTC para que aplicaran los parches lo antes posible.
La respuesta demuestra la importancia que adquirió CVE-2026-12569 en pocas semanas: no se trataba simplemente de una vulnerabilidad potencial, sino de un fallo que estaba siendo aprovechado activamente por atacantes.
Clop utilizó webshells para mantener el acceso
Investigaciones independientes realizadas por empresas de ciberseguridad apuntan a que los atacantes utilizaron webshells JSP en algunos sistemas comprometidos. Un webshell puede proporcionar al atacante una puerta de acceso remota al servidor después de explotar una vulnerabilidad.
En este tipo de campañas, el objetivo puede no ser cifrar inmediatamente los sistemas. En su lugar, los atacantes pueden aprovechar el acceso para explorar la infraestructura, localizar información valiosa y extraer grandes cantidades de datos.
Esto encaja con el modelo de extorsión empleado actualmente por Clop.
No es necesario cifrar los sistemas para causar daños
El caso de Shell también refleja un cambio importante en el ransomware moderno. Los grupos de extorsión ya no dependen necesariamente del cifrado de archivos para presionar a sus víctimas.
En determinadas campañas, el objetivo principal es robar información y amenazar con publicarla. Este método resulta especialmente atractivo cuando los atacantes consiguen acceder a plataformas que contienen grandes cantidades de documentación empresarial.
Una compañía puede continuar funcionando con normalidad y, aun así, sufrir un incidente grave si información estratégica termina en manos de los delincuentes.
¿Por qué Windchill y FlexPLM son objetivos atractivos?
PTC Windchill y FlexPLM son plataformas utilizadas en numerosas industrias para gestionar productos durante diferentes etapas de su ciclo de vida.
Su presencia es especialmente relevante en sectores como:
- Aeroespacial.
- Defensa.
- Automoción.
- Fabricación industrial.
- Retail.
- Tecnología médica.
- Cadena de suministro.
PTC afirma que sus productos son utilizados por más de 30.000 clientes en todo el mundo, incluyendo más de 1.500 compañías de marcas y retail que utilizan FlexPLM. Esto convierte cualquier vulnerabilidad crítica en estas plataformas en un problema potencialmente de gran alcance.
El verdadero riesgo está en los datos
Para empresas como Shell, GE o Philips, los sistemas PLM pueden contener información que va mucho más allá de simples documentos administrativos. Planos, diseños, diagramas, proyectos y documentación de ingeniería pueden proporcionar a un atacante una visión detallada de productos e infraestructuras.
Por ello, comprometer una plataforma de gestión del ciclo de vida de productos puede tener consecuencias importantes incluso aunque no se llegue a interrumpir la producción.
Un recordatorio para las organizaciones industriales
El incidente vuelve a demostrar la importancia de mantener actualizados los sistemas empresariales expuestos a Internet. Las plataformas que gestionan información industrial, técnica o de ingeniería deben considerarse activos críticos y recibir una vigilancia especialmente estricta.
Cuando aparece una vulnerabilidad crítica y las autoridades confirman que está siendo explotada activamente, el margen para retrasar la aplicación de los parches puede ser extremadamente reducido. En el caso de Shell, la investigación todavía tendrá que determinar si Clop realmente consiguió acceder a sus sistemas y qué información pudo haber sido extraída.
Pero el incidente deja una conclusión clara: una única vulnerabilidad en una plataforma empresarial ampliamente utilizada puede convertirse en la puerta de entrada a enormes cantidades de información sensible.
