Cyberattacco Cl0p: 50 aziende a rischio usando software per supply chain
Il gruppo cybercriminale Cl0p ha rivendicato la sottrazione di grandi quantità di dati da quasi 50 aziende internazionali, tra cui Philips, Shell, Fiserv e GE.
La notizia, diffusa da Reuters il 13 agosto 2026, richiama l’attenzione su un rischio sempre più rilevante: la compromissione di applicazioni aziendali diffuse può trasformare una singola vulnerabilità in una campagna capace di coinvolgere numerose organizzazioni.
Le rivendicazioni degli attaccanti devono tuttavia essere trattate con cautela.
Reuters non ha potuto verificare in modo indipendente né la natura né la quantità dei dati che Cl0p sostiene di aver sottratto. Le prime dichiarazioni delle società interessate descrivono inoltre situazioni differenti e ancora in fase di accertamento.
Il collegamento con Windchill e FlexPLM
Secondo un avviso diffuso da Ransom-ISAC, la campagna è stata collegata allo sfruttamento di vulnerabilità presenti in PTC Windchill PDMLink e PTC FlexPLM, piattaforme utilizzate per la gestione del ciclo di vita dei prodotti e dei relativi dati tecnici.
Questi sistemi possono contenere informazioni particolarmente sensibili per il business: progetti, disegni tecnici, specifiche, distinte base, dati di produzione, documentazione sui fornitori e proprietà intellettuale.
Non sono quindi semplici applicativi amministrativi, ma archivi centrali per numerose organizzazioni dei settori manifatturiero, automobilistico, aerospaziale, retail e abbigliamento.
PTC ha pubblicato un avviso dedicato alla vulnerabilità CVE-2026-12569, che può consentire a un utente non autorizzato di eseguire codice da remoto.
Il problema è legato alla deserializzazione di dati non attendibili ed è classificato come critico: PTC gli attribuisce un punteggio CVSS 4.0 pari a 9,3, mentre il National Vulnerability Database riporta un punteggio CVSS 3.1 pari a 9,8.
La vulnerabilità è stata inserita il 25 giugno 2026 nel catalogo delle vulnerabilità sfruttate attivamente, il Known Exploited Vulnerabilities Catalog della statunitense CISA. PTC ha messo a disposizione patch, misure di mitigazione e indicatori di compromissione, invitando i clienti ad applicare immediatamente le correzioni e a controllare gli ambienti interessati.
Non è stato confermato pubblicamente che ogni organizzazione citata nelle più recenti rivendicazioni sia stata compromessa attraverso CVE-2026-12569. Il collegamento tra la campagna Cl0p e lo sfruttamento di installazioni Windchill e FlexPLM esposte in rete resta però un elemento operativo da considerare con la massima priorità.
Un modello di attacco sempre più industrializzato
Cl0p è noto per campagne che non puntano necessariamente una singola azienda. Il gruppo cerca vulnerabilità in software largamente adottati e tenta di sfruttarle su più installazioni, moltiplicando il numero delle potenziali vittime.
È un modello diverso dal classico attacco costruito su misura contro un’organizzazione specifica. Il bersaglio iniziale diventa il prodotto software; le aziende che lo utilizzano rappresentano il bacino di possibili compromissioni.
Inoltre, l’estorsione non richiede sempre la cifratura dei sistemi. Se gli attaccanti riescono a sottrarre documenti riservati o proprietà intellettuale, possono minacciare la pubblicazione dei dati e fare pressione sull’organizzazione anche senza bloccarne completamente le attività.
Questo riduce la visibilità immediata dell’incidente. Un sistema può continuare apparentemente a funzionare mentre dati sensibili vengono raccolti e trasferiti all’esterno. Per questo il solo controllo della disponibilità dei servizi non basta: servono monitoraggio, analisi dei log e capacità di individuare comportamenti anomali.
Il rischio della concentrazione tecnologica
La vicenda mostra anche un punto debole delle moderne catene digitali. Quando molte imprese affidano processi critici allo stesso prodotto, una vulnerabilità può generare un rischio concentrato e propagarsi in settori diversi.
Questo non significa che utilizzare una soluzione diffusa sia automaticamente insicuro. Significa, però, che l’organizzazione non può delegare integralmente la sicurezza al fornitore. Deve conoscere le tecnologie utilizzate, sapere quali servizi sono esposti, ricevere tempestivamente gli avvisi di sicurezza e verificare che le correzioni siano state realmente applicate.
La gestione dei fornitori prevista dalla NIS2 non si limita infatti alla scelta iniziale del partner. Richiede una valutazione continuativa delle dipendenze, delle vulnerabilità e delle conseguenze che un incidente presso un prodotto o un servizio esterno potrebbe avere sull’erogazione delle attività aziendali.
Cosa devono verificare subito le organizzazioni
Le aziende che utilizzano Windchill PDMLink o FlexPLM dovrebbero avviare una verifica coordinata tra funzione IT, cybersecurity, responsabili applicativi, continuità operativa e direzione.
In particolare, è opportuno:
- censire tutte le installazioni Windchill, FlexPLM e le eventuali componenti collegate;
- verificare versioni, patch installate e indicazioni aggiornate pubblicate da PTC;
- controllare se i sistemi sono accessibili direttamente da Internet e ridurre l’esposizione non necessaria;
- confrontare log, file e traffico di rete con gli indicatori di compromissione diffusi dal produttore;
- ricercare accessi anomali, esecuzioni inattese e possibili trasferimenti di dati;
- attivare il piano di risposta agli incidenti se emergono segnali compatibili con una compromissione;
- valutare la rotazione delle credenziali e delle chiavi che potrebbero essere state accessibili dal sistema coinvolto;
- verificare integrità e disponibilità dei backup, senza considerarli una protezione sufficiente contro la sottrazione dei dati;
- documentare verifiche, decisioni, responsabilità e azioni correttive adottate.
Installare la patch è indispensabile, ma potrebbe non essere sufficiente se l’attaccante è entrato prima dell’aggiornamento. Nei sistemi esposti durante il periodo di rischio serve anche una verifica retrospettiva, finalizzata a escludere la presenza di accessi persistenti o tracce di esfiltrazione.
Dalla patch alla gestione strutturata del rischio
La lezione della campagna attribuita a Cl0p è chiara: il patch management non può essere trattato come un’attività tecnica isolata. Deve essere collegato all’inventario degli asset, alla classificazione dei sistemi critici, al monitoraggio delle minacce, alla gestione dei fornitori e alla risposta agli incidenti.
Un aggiornamento applicato con settimane di ritardo su un sistema che conserva proprietà intellettuale non equivale a un ritardo su un dispositivo marginale. La priorità deve dipendere dall’esposizione, dalla criticità dei dati, dalla presenza di sfruttamento attivo e dall’impatto potenziale sul business.
Per i soggetti rientranti nel perimetro NIS2, questo approccio è anche parte della capacità di dimostrare che le misure di sicurezza sono proporzionate al rischio e vengono gestite nel tempo.
Non basta avere una procedura di aggiornamento: occorre poter provare quando l’avviso è stato ricevuto, come è stata valutata la priorità, quali sistemi sono stati corretti e quali controlli sono stati effettuati dopo l’intervento.
Actainfo supporta aziende e Pubbliche Amministrazioni nella valutazione del rischio cyber, nel censimento degli asset, nella gestione delle vulnerabilità, nell’organizzazione delle evidenze NIS2 e nella formazione del personale, anche attraverso il software Actacyber qualificato da ACN.
