Clop zet Shell en Philips op zijn lekpagina en claimt 13,5 gigabyte aan blauwdrukken

Twee Nederlandse multinationals op de lekpagina

De Russische ransomwaregroep Clop heeft deze week Shell en Philips toegevoegd aan de lijst met slachtoffers op haar publieke afpersingspagina. Beide concerns hebben hun hoofdkantoor in Nederland en behoren tot de grootste werkgevers van het land. De groep dreigt de gestolen bestanden op internet te zetten als er niet wordt betaald.

Philips bevestigde dat er een poging tot een cyberaanval is geweest op een specifieke bedrijfsserver met interne gegevens. Volgens het concern is het incident onderkend en onder controle gebracht, is de omvang relatief klein en zijn er geen gevolgen voor klantomgevingen. Shell liet weten op de hoogte te zijn van een mogelijk incident en uit te zoeken wat er precies is gebeurd.

Wat de groep zegt te hebben buitgemaakt

Bij Philips gaat het volgens de claim om 13,5 gigabyte aan bestanden. In de omschrijving noemt Clop pdf-tekeningen, diagrammen en blauwdrukken. Over de omvang van de gegevens bij Shell heeft de groep geen getal genoemd, en het energieconcern heeft daar zelf ook niets over losgelaten.

Bij dat soort claims past terughoudendheid. Een vermelding op een lekpagina is in de eerste plaats een drukmiddel, geen bewijs, en criminele groepen zetten de buit vaker groter neer dan hij is om de kans op betaling te vergroten. Onafhankelijke bevestiging van de omvang ontbreekt bij beide bedrijven, en de lezing van Philips staat haaks op het beeld dat de aanvallers schetsen.

Een lek in software die ontwerpen beheert

De aanvallen passen in een campagne die sinds het voorjaar loopt tegen PTC Windchill en FlexPLM, software waarin fabrikanten hun product- en ontwerpgegevens beheren. Het gaat om een kwetsbaarheid met kenmerk CVE-2026-12569, een fout in de verwerking van niet vertrouwde gegevens waarmee een aanvaller zonder in te loggen code kan uitvoeren op de server. De ernstscore ligt op 9,3 van de 10.

PTC begon op 17 juni met het uitbrengen van reparaties. Het Amerikaanse cyberagentschap CISA zette het lek op 25 juni op de lijst van kwetsbaarheden waarvan actief misbruik is vastgesteld, met de opdracht aan federale diensten om binnen drie dagen bij te werken. Eind juni volgde nog een waarschuwing voor verhoogde dreiging.

Afpersing per e-mail in plaats van versleuteling

Anders dan de naam ransomware suggereert, versleutelt Clop bij deze campagne niets. De aanvallers plaatsen een webshell op de server, halen daarmee gegevens naar buiten en dreigen vervolgens met publicatie. Voor het slachtoffer blijven de systemen dus gewoon draaien, waardoor een inbraak lang onopgemerkt kan blijven.

Vanaf eind juli stuurde de groep afpersingsmails naar honderden medewerkers tegelijk binnen getroffen organisaties, verstuurd vanaf eerder gekaapte mailboxen. Die aanpak is berekend: door de melding intern breed uit te zetten, komt de druk niet alleen bij de beveiligingsafdeling te liggen maar meteen bij de hele organisatie.

Waarom ontwerpdata een aantrekkelijk doelwit is

PTC bedient naar eigen zeggen meer dan dertigduizend klanten wereldwijd, waarvan ruim vijftienhonderd merken en retailers met FlexPLM werken. De systemen bevatten productgegevens uit de lucht- en ruimtevaart, defensie, automotive, zware machinebouw en medische technologie. Dat is precies het materiaal waar zowel concurrenten als statelijke actoren belangstelling voor hebben.

Gestolen klantgegevens verouderen snel en verliezen daarmee waarde. Een technische tekening van een productielijn of een medisch apparaat blijft jarenlang bruikbaar. Dat maakt de schade van dit type diefstal moeilijker te overzien dan bij een datalek met adressen en rekeningnummers, waar de gevolgen zich sneller uitkristalliseren.

Wat dit voor Nederland betekent

Dat twee Nederlandse beursfondsen tegelijk op dezelfde lekpagina staan, laat zien hoe weinig een aanvaller nodig heeft om bij grote industriële partijen binnen te komen. Niet de omvang van het beveiligingsbudget was hier bepalend, maar de vraag of een specifiek pakket aan de rand van het netwerk op tijd was bijgewerkt. Dat is een organisatorisch probleem, geen technisch mysterie.

Nederlandse toeleveranciers die met dezelfde ontwerpsoftware werken en veel minder beveiligingspersoneel hebben, lopen daarbij het grootste risico. Voor hen geldt hetzelfde advies dat onderzoekers nu geven: bijwerken, dit soort servers niet rechtstreeks aan het internet hangen, verdachte systemen isoleren en toegangsgegevens vervangen die mogelijk zijn buitgemaakt.

Een groep met een lange staat van dienst

Clop is sinds 2019 actief en haalde volgens schattingen al zo een half miljard dollar aan losgeld op. De groep richt zich stelselmatig op één centraal gebruikt pakket tegelijk en oogst daar in korte tijd tientallen tot honderden slachtoffers uit. Eerdere golven liepen via bestandsuitwisseldiensten en via de bedrijfssoftware van Oracle.

De grootste daarvan trof meer dan tweeduizendzevenhonderd organisaties. In Nederland is de groep vooral bekend van de aanval op de Universiteit Maastricht, die destijds losgeld betaalde. Dat de aanvallers nu bij industriële ontwerpsystemen uitkomen, is een uitbreiding van hetzelfde patroon naar een nieuw type buit.

Wat nog niet vaststaat

Of de inbraken bij Shell en Philips daadwerkelijk via het lek in Windchill zijn gelopen, is niet bevestigd. Geen van beide bedrijven heeft de toegangsweg benoemd, en Clop koppelt de vermeldingen zelf ook niet expliciet aan die campagne. De timing maakt het aannemelijk, maar aannemelijk is niet hetzelfde als vastgesteld.

Even onduidelijk is wat er in de bestanden zit en of er persoonsgegevens bij zitten. Philips houdt het op interne gegevens op één server, terwijl de aanvallers spreken over blauwdrukken. Pas als de groep gegevens publiceert of als een van beide bedrijven met een uitgebreidere verklaring komt, valt te beoordelen wie het dichtst bij de werkelijkheid zat.