Philips dan GE Selidiki Klaim Pencurian Data oleh Ransomware Clop

Perusahaan teknologi dan industri besar General Electric (GE) dan Philips mengonfirmasi sedang menyelidiki klaim kelompok ransomware Clop yang menyebut mereka berhasil membobol sistem perusahaan dan mencuri sejumlah data.

GE mengatakan telah mengetahui klaim tersebut dan sedang melakukan pemeriksaan untuk mengetahui kemungkinan adanya masalah keamanan.

Sementara itu, Philips mengonfirmasi bahwa sebuah sistem internal mereka memang mengalami upaya kompromi. Namun, perusahaan menyatakan insiden tersebut telah berhasil dikendalikan dan tidak berdampak pada lingkungan pelanggan.

“Philips has identified and contained an attempted cybersecurity compromise of a specific enterprise server related to internal data,” kata perusahaan dalam pernyataannya. Philips menegaskan bahwa insiden tersebut tidak memengaruhi customer environments.

Kedua perusahaan belum memberikan informasi lebih lanjut mengenai data yang kemungkinan telah diakses atau dicuri.

Clop Klaim Mencuri Data dari GE dan Philips

Klaim terhadap GE dan Philips muncul dalam rangkaian serangan yang dikaitkan dengan kelompok Clop.

Kelompok tersebut mencantumkan kedua perusahaan di situs kebocoran datanya sebagai bagian dari 43 korban baru yang diduga menjadi target kampanye data theft.

Serangan tersebut mengeksploitasi vulnerability kritis pada PTC Windchill dan PTC FlexPLM, platform enterprise yang digunakan perusahaan untuk mengelola berbagai proses Product Lifecycle Management (PLM).

Vulnerability tersebut dilacak sebagai CVE-2026-12569 dan berkaitan dengan improper input validation.

Selain GE dan Philips, perusahaan minyak Shell juga sebelumnya mengonfirmasi sedang menyelidiki klaim serupa dari Clop.

Shell bahkan menghadapi klaim bahwa sekitar 89 GB data telah dicuri dari sistemnya.

Data yang Diklaim Dicuri Sangat Sensitif

Clop mengklaim berhasil mencuri berbagai jenis informasi dari sistem yang dikompromikan.

Data tersebut disebut mencakup backup, project plans, facility photos, engineering drawings, diagrams, blueprints, dan berbagai dokumen lainnya.

Jika klaim tersebut terbukti benar, data semacam itu dapat memberikan informasi sensitif mengenai operasi, proyek, fasilitas, desain, hingga proses engineering perusahaan.

Namun, sejauh ini belum seluruh klaim Clop dapat diverifikasi secara independen.

Philips sendiri telah mengonfirmasi adanya compromise terhadap salah satu enterprise server yang berkaitan dengan internal data, tetapi perusahaan menyatakan insiden tersebut telah berhasil ditangani.

GE juga masih melakukan assessment untuk menentukan apakah klaim Clop benar-benar berkaitan dengan kompromi terhadap infrastrukturnya.

Serangan Memanfaatkan PTC Windchill dan FlexPLM

PTC Windchill dan PTC FlexPLM merupakan enterprise software yang digunakan untuk mengelola berbagai informasi terkait siklus hidup produk.

Platform tersebut banyak digunakan oleh perusahaan di sektor aerospace, defense, automotive, heavy machinery, retail, dan medical technology.

PTC menyebut produknya digunakan oleh lebih dari 30.000 pelanggan di seluruh dunia, termasuk lebih dari 1.500 brand dan perusahaan retail yang menggunakan FlexPLM.

Besarnya basis pengguna tersebut menjadikan vulnerability pada kedua platform sebagai target yang menarik bagi threat actor.

Dalam kampanye yang dikaitkan dengan Clop, attacker menargetkan instance Windchill dan FlexPLM yang dapat diakses melalui internet.

PTC Sudah Merilis Patch Sejak Juni

PTC mulai merilis security patch untuk CVE-2026-12569 pada 17 Juni 2026.

Meskipun saat itu belum ada konfirmasi mengenai eksploitasi vulnerability tersebut di dunia nyata, PTC telah meminta pelanggan melakukan pemeriksaan terhadap environment mereka untuk mencari indicators of compromise (IOC).

Situasi kemudian berkembang setelah PTC memberikan peringatan mengenai heightened threat activity pada 26 Juni.

Investigasi selanjutnya dari organisasi keamanan siber juga mengonfirmasi bahwa serangan terhadap Windchill dan FlexPLM memang sedang berlangsung.

Attacker Gunakan JSP Webshell

ReliaQuest dan Ransomware Information Sharing and Analysis Centre (Ransom-ISAC) mengonfirmasi aktivitas eksploitasi yang dikaitkan dengan Clop.

Dalam serangan tersebut, threat actor dilaporkan menggunakan JSP webshell setelah berhasil mengompromikan platform PLM.

Webshell memberikan attacker kemampuan untuk menjalankan perintah pada server yang telah berhasil ditembus. Dari akses tersebut, pelaku kemudian dapat melakukan aktivitas lanjutan, termasuk mengambil data sensitif dari sistem korban.

Penggunaan webshell juga memungkinkan attacker mempertahankan akses dan menjalankan operasi pencurian data secara lebih fleksibel setelah vulnerability berhasil dieksploitasi.

CISA Masukkan Vulnerability ke Katalog Eksploitasi Aktif

Vulnerability CVE-2026-12569 akhirnya mendapat perhatian dari pemerintah Amerika Serikat setelah Cybersecurity and Infrastructure Security Agency (CISA) mengonfirmasi bahwa flaw tersebut sedang aktif dieksploitasi.

CISA kemudian memasukkannya ke dalam Known Exploited Vulnerabilities catalog.

Badan federal AS juga mewajibkan lembaga pemerintah untuk mengamankan instance PTC Windchill dan FlexPLM mereka dalam waktu tiga hari setelah vulnerability tersebut dimasukkan ke katalog.

Langkah serupa juga dilakukan oleh otoritas Jerman. Federal Office for Information Security (BSI) mengeluarkan peringatan kepada pelanggan PTC dan mendesak mereka segera melakukan patching terhadap sistem yang terdampak.

Clop Memiliki Riwayat Menargetkan Platform Enterprise

Serangan terhadap GE, Philips, dan Shell merupakan bagian dari pola operasi Clop yang selama bertahun-tahun menargetkan platform enterprise untuk melakukan pencurian data dalam skala besar.

Kelompok tersebut sebelumnya mengeksploitasi berbagai platform, termasuk Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo, dan MOVEit Transfer.

Kampanye MOVEit menjadi salah satu operasi terbesar Clop dan berdampak pada lebih dari 2.770 organisasi di seluruh dunia.

Sejak awal Agustus 2025, Clop juga mengeksploitasi zero-day pada Oracle E-Business Suite (EBS) untuk mencuri file sensitif dari berbagai organisasi.

Serangan tersebut kemudian dikaitkan dengan sejumlah korban besar, termasuk organisasi pendidikan, perusahaan teknologi, perusahaan transportasi, hingga perusahaan consumer goods.

Clop Terus Menargetkan Data, Bukan Sekadar Enkripsi

Berbeda dari pola ransomware tradisional yang berfokus pada mengenkripsi file korban, operasi Clop dalam berbagai kampanye lebih banyak menekankan data theft dan extortion.

Attacker berusaha mendapatkan akses ke platform enterprise yang menyimpan data dalam jumlah besar, kemudian mengekstrak informasi tersebut sebelum mengancam korban dengan publikasi data.

Pendekatan ini memungkinkan Clop memberikan tekanan kepada organisasi meskipun file internal mereka tidak dienkripsi.

Kasus GE dan Philips menunjukkan bahwa platform yang digunakan untuk mengelola proses engineering dan product lifecycle juga dapat menjadi target bernilai tinggi karena menyimpan dokumen teknis dan informasi internal perusahaan.

Untuk saat ini, GE dan Philips masih melakukan investigasi terhadap klaim Clop. Belum ada rincian lengkap mengenai data apa yang kemungkinan telah dicuri dari kedua perusahaan maupun seberapa luas akses attacker.