Clop claimt grote datadiefstal bij Philips en Shell, spoor leidt naar kwetsbare productsoftware

Cybercrimegroep Clop zegt grote hoeveelheden bedrijfsgegevens te hebben buitgemaakt bij Philips en Shell. Philips bevestigt dat een specifieke server met interne bedrijfsinformatie doelwit is geweest van een cyberaanval. Shell onderzoekt eveneens een mogelijk beveiligingsincident. Of bij beide multinationals daadwerkelijk de hoeveelheden gegevens zijn gestolen die Clop beweert te bezitten, is nog niet vastgesteld.

De twee concerns verschenen op 12 augustus op de lekwebsite van Clop, een cybercrimegroep die de afgelopen jaren verantwoordelijk is gehouden voor verschillende grootschalige aanvallen op bedrijfssoftware.

Bij Philips gaat het volgens de aanvallers om ongeveer 13,5 gigabyte aan gegevens. De buit zou voornamelijk bestaan uit technische documentatie, waaronder pdf-bestanden met tekeningen, diagrammen en blauwdrukken.

Philips heeft bevestigd dat geprobeerd is een specifieke bedrijfsserver met interne gegevens te compromitteren. De getroffen omgeving is inmiddels onder controle gebracht. Systemen en omgevingen van klanten zouden niet zijn geraakt. Het concern heeft vooralsnog niet bevestigd dat daadwerkelijk gegevens vanaf de server zijn gestolen.

Dat onderscheid is belangrijk. Clop heeft tot nu toe geen voorbeelden van de beweerde buit van Philips openbaar gemaakt. Daardoor kan onafhankelijk niet worden vastgesteld of de genoemde bestanden daadwerkelijk afkomstig zijn van het concern en of de geclaimde hoeveelheid van 13,5 gigabyte klopt.

Ook Shell wordt door Clop genoemd. Daar zou de hoeveelheid buitgemaakte informatie aanzienlijk groter zijn. De cybercriminelen stellen ongeveer 89 gigabyte aan gegevens in handen te hebben.

Volgens de groep gaat het onder meer om technische tekeningen, foto's van installaties, scans van rapportages over tests van faciliteiten en informatie over projecten. Ook daarvan zijn vooralsnog geen voorbeelden openbaar gemaakt.

Shell is op de hoogte van een mogelijk beveiligingsincident en heeft eigen beveiligingsteams en externe deskundigen bij het onderzoek betrokken. Het energieconcern heeft niet bevestigd dat daadwerkelijk gegevens zijn gestolen.

Daarmee blijft bij beide bedrijven een belangrijk verschil bestaan tussen wat technisch is vastgesteld en wat Clop zelf beweert.

Een mogelijk technisch spoor maakt de aanval op Philips bijzonder interessant. Clop wordt sinds juli in verband gebracht met een internationale aanvalscampagne tegen PTC Windchill en FlexPLM.

Windchill is zogeheten Product Lifecycle Management-software. Bedrijven gebruiken dergelijke systemen om grote hoeveelheden technische informatie rond producten centraal te beheren. Daaronder kunnen ontwerpen, productspecificaties, stuklijsten, informatie over leveranciers en andere bedrijfsgevoelige documenten vallen.

Juist in die software werd dit jaar een ernstige kwetsbaarheid ontdekt. Het beveiligingslek heeft het nummer CVE-2026-12569 en kan het onder bepaalde omstandigheden mogelijk maken dat een aanvaller zonder geldige inloggegevens op afstand programmacode uitvoert op een kwetsbare server.

Softwareleverancier PTC waarschuwde zijn klanten voor het kritieke lek en heeft inmiddels beveiligingsupdates en een omvangrijke lijst met technische kenmerken gepubliceerd waarmee bedrijven kunnen controleren of hun systemen mogelijk zijn aangevallen.

De Amerikaanse cybersecurityautoriteit CISA plaatste CVE-2026-12569 op 25 juni op de lijst met kwetsbaarheden waarvan bekend is dat ze daadwerkelijk worden misbruikt.

Toen de eerste aanwijzingen voor aanvallen op Windchill verschenen, was nog niet duidelijk wie er precies achter zat. Inmiddels is het verband met Clop aanzienlijk sterker geworden.

Vanaf juli werden aanvallen waargenomen waarbij kwetsbare Windchill- en FlexPLM-systemen werden misbruikt om op afstand toegang te verkrijgen. Daarbij werden onder meer webshells geplaatst waarmee aanvallers opdrachten op getroffen servers konden uitvoeren en naar waardevolle bestanden konden zoeken.

Vanaf 20 juli kregen verschillende getroffen organisaties vervolgens afpersingsberichten waarin werd gesteld dat vertrouwelijke bedrijfsinformatie was gestolen. De gebruikte contactgegevens konden aan Clop worden gekoppeld. Beveiligingsonderzoekers zien sterke overeenkomsten tussen de waargenomen werkwijze en eerdere campagnes van de groep.

Onderzoekers zagen daarnaast dat bij de aanvallen juist gevoelige product- en ontwerpgegevens werden verzameld. Dat maakt het type gegevens dat Clop nu bij Philips zegt te hebben buitgemaakt opvallend: tekeningen, diagrammen en blauwdrukken behoren precies tot de categorie informatie die in een Product Lifecycle Management-omgeving kan worden opgeslagen.

Dat betekent echter nog niet dat Philips via Windchill is getroffen.

Vast staat wel dat Philips technologie van PTC binnen de organisatie heeft gebruikt.

Een in Eindhoven uitgezette Philips-opdracht uit 2021 voor een softwareprojectleider beschrijft uitgebreid het gebruik van PTC Windchill RV&S binnen verschillende wereldwijde R&D-onderdelen van Philips. Een team van ongeveer tien engineers in Eindhoven en het Indiase Pune hield zich bezig met ontwikkeling en ondersteuning van het systeem. De hoofdlocatie van het betreffende onderdeel bevond zich op de High Tech Campus in Eindhoven.

Ook veel recenter zijn er aanwijzingen voor een relatie tussen Philips en technologie van PTC. In april van dit jaar publiceerde PTC een praktijkcase waarin wordt beschreven hoe Philips commerciële en technische productconfiguraties rond één centrale structuur heeft georganiseerd. De case maakt deel uit van het materiaal van PTC rond product lifecycle management en configuratiebeheer.

Dat maakt het Windchill-spoor relevant voor het onderzoek naar de cyberaanval, maar vormt nadrukkelijk geen bewijs.

Philips heeft niet bekendgemaakt welke software op de aangevallen server draaide. Ook is niet bevestigd dat CVE-2026-12569 is misbruikt, dat de server via internet bereikbaar was of dat de technische indicatoren van de internationale Windchill-campagne op systemen van Philips zijn aangetroffen.

Zonder die informatie kan niet worden vastgesteld of de aanval op Philips onderdeel is van dezelfde campagne.

De mogelijke buit laat ondertussen zien hoe het verdienmodel van cybercriminelen verandert. Een aanval hoeft tegenwoordig niet meer te eindigen met computers die worden versleuteld of een complete onderneming die stilvalt.

Voor afpersers kan het voldoende zijn om ongemerkt een bedrijfsomgeving binnen te dringen, waardevolle bestanden te kopiëren en vervolgens met publicatie daarvan te dreigen.

Technische productinformatie is daarvoor bijzonder aantrekkelijk. Wachtwoorden kunnen na een datalek worden vervangen en toegangscodes kunnen worden ingetrokken. Een ontwerp, blauwdruk, productarchitectuur of beschrijving van een productieproces kan niet worden veranderd zodra die informatie eenmaal in handen van derden is gekomen.

Systemen waarin dergelijke kennis centraal wordt opgeslagen vormen daardoor een aantrekkelijk doelwit.

De Windchill-campagne past in een strategie die Clop eerder gebruikte. De groep richt zich regelmatig op kwetsbaarheden in bedrijfssoftware waarmee in korte tijd veel organisaties kunnen worden bereikt. In plaats van één onderneming langdurig aan te vallen, kan één beveiligingslek daardoor toegang geven tot gegevens van grote aantallen slachtoffers.

Voor Shell is de naam Clop niet nieuw. Het energieconcern werd in 2021 geraakt tijdens een aanvalsgolf rond de bestandsoverdrachtsoftware van Accellion. In 2023 kwam Shell opnieuw in beeld bij de veel grotere internationale MOVEit-campagne van Clop. Bij die aanval werd een kwetsbaarheid in veelgebruikte software voor bestandsoverdracht op grote schaal misbruikt om gegevens bij organisaties te stelen.

De aanpak vertoont overeenkomsten met wat nu bij Windchill wordt gezien: zoeken naar een kwetsbaarheid in software die door grote organisaties wordt gebruikt en die toegang geeft tot geconcentreerde hoeveelheden waardevolle bedrijfsinformatie.

Nederland maakte al eerder hardhandig kennis met Clop. Bij de cyberaanval op Maastricht University in december 2019 werd Clop-ransomware op 267 Windows-servers geïnstalleerd. De aanval legde een groot deel van de digitale infrastructuur van de universiteit plat en had grote gevolgen voor de bedrijfsvoering.

De groep heeft zijn werkwijze sindsdien verder ontwikkeld. Waar bij Maastricht nog grootschalige versleuteling van systemen centraal stond, ligt bij recentere campagnes veel vaker de nadruk op het stelen van informatie en afpersing met de dreiging die gegevens openbaar te maken.

Voor Philips zal verder technisch onderzoek vooral moeten uitwijzen hoeveel toegang de aanvallers tot de getroffen server hebben gehad en of bestanden daadwerkelijk de bedrijfsomgeving hebben verlaten.

Daarnaast is van belang welke software op de server draaide en of bij het onderzoek technische kenmerken worden gevonden die overeenkomen met de recente aanvallen op PTC Windchill en FlexPLM.

Zolang Philips daarover geen aanvullende informatie bekendmaakt en Clop geen controleerbare voorbeelden van de beweerde buit publiceert, kan de koppeling niet worden gemaakt.

Wel is duidelijk dat de omstandigheden opvallend overeenkomen: een cybercrimegroep die op grote schaal technische bedrijfssoftware aanvalt, een kwetsbaarheid die toegang kan bieden tot waardevolle productinformatie en vervolgens een claim dat bij Philips juist tekeningen, diagrammen en blauwdrukken zijn buitgemaakt.

Voorlopig is dat een serieus onderzoeksspoor — maar nog geen bewijs dat de Windchill-kwetsbaarheid daadwerkelijk de deur naar Philips heeft geopend.