Shell Selidiki Insiden Keamanan Setelah Clop Klaim Curi 89 GB Data

Perusahaan energi global Shell tengah menyelidiki potensi insiden keamanan setelah kelompok ransomware Clop mengklaim telah mencuri sekitar 89 GB data dari lingkungan perusahaan.

Shell merupakan salah satu perusahaan minyak dan gas terbesar di dunia dengan sekitar 85.000 karyawan yang tersebar di lebih dari 70 negara. Perusahaan ini juga mengoperasikan jaringan puluhan ribu stasiun layanan dan pengisian daya yang melayani lebih dari 20 juta pelanggan setiap hari.

Klaim pencurian data tersebut muncul setelah Clop memasukkan Shell ke dalam daftar korban terbaru di situs kebocoran data milik kelompok tersebut. Dalam unggahannya, Clop mengklaim memperoleh berbagai dokumen internal, termasuk gambar teknik, hasil pemindaian laporan pengujian fasilitas, foto fasilitas, serta rencana proyek.

Shell sejauh ini belum mengonfirmasi bahwa data tersebut benar-benar telah dicuri. Perusahaan hanya menyatakan bahwa tim keamanan sedang melakukan investigasi terhadap potensi insiden tersebut bersama sejumlah ahli terkait.

Shell Investigasi Klaim Pencurian Data

Klaim terhadap Shell diduga berkaitan dengan serangkaian serangan yang menargetkan sistem PTC Windchill dan FlexPLM yang terhubung ke internet.

Kedua platform tersebut merupakan software Product Lifecycle Management (PLM) yang digunakan perusahaan untuk merancang, mengelola, dan melacak produk sepanjang siklus hidupnya hingga proses manufaktur. Penggunaannya banyak ditemukan di sektor engineering, manufaktur, quality control, supply chain, retail, aerospace, otomotif, pertahanan, hingga industri medtech.

Dalam kampanye tersebut, pelaku memanfaatkan kerentanan kritis yang tercatat sebagai CVE-2026-12569. Celah tersebut berkaitan dengan improper input validation dan telah menjadi sasaran eksploitasi oleh kelompok Clop.

Shell menjadi salah satu dari puluhan organisasi yang disebut dalam klaim terbaru kelompok tersebut. Selain Shell, Clop juga mengaku berhasil mencuri data dari perusahaan besar lainnya, termasuk General Electric dan Philips.

Data yang diklaim dicuri dari sejumlah korban tidak hanya berupa dokumen biasa. Clop menyebut memperoleh backup, system files, proyek, gambar teknis, diagram, hingga blueprint yang berpotensi mengandung informasi sensitif mengenai operasi dan infrastruktur perusahaan.

Celah PTC Windchill dan FlexPLM Dieksploitasi

PTC mulai merilis patch keamanan untuk CVE-2026-12569 pada 17 Juni 2026. Meskipun pada awalnya belum mengonfirmasi adanya eksploitasi di dunia nyata, perusahaan juga mengeluarkan advisory khusus yang meminta pelanggan memeriksa lingkungan mereka untuk mencari indikator kompromi atau Indicators of Compromise (IoC).

Situasi semakin serius setelah PTC memperingatkan adanya peningkatan aktivitas ancaman pada 26 Juni. Tak lama kemudian, otoritas keamanan siber Amerika Serikat mengonfirmasi bahwa kerentanan tersebut memang sedang dieksploitasi dalam serangan.

CVE-2026-12569 kemudian dimasukkan ke dalam Known Exploited Vulnerabilities (KEV) Catalog. Pemerintah Amerika Serikat juga memerintahkan lembaga federal untuk segera mengamankan sistem PTC Windchill dan FlexPLM yang terdampak.

Kerentanan tersebut bahkan memicu tindakan darurat dari otoritas keamanan siber Jerman. Federal Office for Information Security (BSI) memperingatkan pengguna PTC agar segera melakukan patching setelah meningkatnya aktivitas eksploitasi terhadap sistem yang rentan.

Clop Gunakan Webshell untuk Mencuri Data

Serangkaian serangan terhadap Windchill dan FlexPLM juga telah dikaitkan dengan aktivitas Clop oleh sejumlah organisasi keamanan siber.

Dalam investigasi terhadap kampanye tersebut, peneliti menemukan penggunaan JSP webshell pada sistem yang telah dikompromikan. Webshell memberikan kemampuan kepada penyerang untuk mempertahankan akses ke server sekaligus menjalankan perintah dan mengambil data dari platform PLM korban.

Teknik tersebut membuat serangan menjadi sangat berbahaya bagi perusahaan yang menggunakan Windchill maupun FlexPLM untuk menyimpan informasi engineering dan proses produksi.

Berbeda dengan serangan ransomware tradisional yang biasanya berfokus pada enkripsi sistem untuk meminta tebusan, operasi Clop dalam kampanye ini lebih menitikberatkan pada data theft dan exfiltration. Data yang berhasil dicuri kemudian dapat digunakan sebagai alat pemerasan dengan ancaman publikasi melalui situs kebocoran data.

Puluhan Ribu Perusahaan Berpotensi Terdampak

PTC Windchill dan FlexPLM memiliki basis pengguna yang sangat luas. PTC menyebut produknya digunakan oleh lebih dari 30.000 pelanggan di seluruh dunia, sementara FlexPLM digunakan oleh lebih dari 1.500 perusahaan brand dan retail.

Besarnya basis pengguna tersebut menjadikan eksploitasi CVE-2026-12569 sebagai ancaman serius, terutama bagi organisasi yang menjalankan instance Windchill atau FlexPLM yang dapat diakses dari internet.

Bagi perusahaan yang menggunakan kedua platform tersebut, pemasangan patch bukan satu-satunya langkah yang diperlukan. Pemeriksaan log, pencarian IoC, audit akun, serta investigasi terhadap aktivitas webshell juga penting dilakukan untuk memastikan apakah sistem sebelumnya telah berhasil ditembus.

Untuk Shell sendiri, belum diketahui secara pasti apakah seluruh data yang diklaim Clop benar-benar berasal dari sistem perusahaan. Investigasi internal masih berlangsung dan belum ada rincian lebih lanjut mengenai sistem yang kemungkinan terdampak maupun jenis data yang berhasil diakses.

Klaim pencurian data tersebut tetap menunjukkan bagaimana kerentanan pada software enterprise yang terhubung ke internet dapat menjadi jalur masuk bagi operasi pencurian data berskala besar, khususnya ketika digunakan oleh perusahaan yang menangani informasi engineering, proyek, dan infrastruktur sensitif.