Waarom ransomwaregroep Clop Shell niet zelf hoefde te hacken

De Russische ransomwaregroep Clop zette donderdag twee vertrouwde Nederlandse namen op zijn afperssite: Shell en Philips. Dat klinkt als twee gerichte inbraken bij twee grote bedrijven. Dat was het vrijwel zeker niet. Clop werkt al jaren volgens een ander recept: niet één bedrijf uitkiezen en er maandenlang op beuken, maar één stuk software kraken dat honderden bedrijven toevallig allemaal draaien.

Die software heet dit keer Windchill, van de Amerikaanse leverancier PTC. Het is een systeem waarin fabrikanten de complete levensloop van een product bijhouden — ontwerpen, tekeningen, onderdelenlijsten, revisies. Precies het soort systeem dat vol staat met dingen die een concurrent graag zou willen zien. Volgens Security.NL claimt Clop 13,5 gigabyte bij Philips te hebben weggehaald, waaronder pdf-tekeningen, diagrammen en blauwdrukken. Bij Shell zou het om zo'n 89 gigabyte gaan.

Belangrijke kanttekening vooraf: al die cijfers komen van de criminelen zelf. Een afperssite is marketing. Clop heeft er belang bij dat een slachtoffer denkt dat de buit groot is, en er is geen onafhankelijke partij die de bestanden heeft geteld. Wat wél vaststaat, is dat beide bedrijven bevestigen dat er íets is gebeurd.

Eén lek, bijna vijftig bedrijven tegelijk

Shell en Philips staan niet alleen. Volgens onder meer Free Malaysia Today noemt Clop inmiddels bijna vijftig organisaties in deze campagne, waaronder betaalverwerker Fiserv en industrieconcern GE. Dat aantal is het hele punt. Clop koos geen slachtoffers uit; het koos een deur die bij heel veel gebouwen tegelijk openstond en liep er naar binnen om te kijken wie er thuis was.

Dreigingsanalist Brandon Parsons omschreef de groep tegenover diezelfde krant als professionele data-afpersers die zich op kwetsbaarheden richten in plaats van op specifieke bedrijven. Dat verklaart ook de rare mix aan namen op de lijst: een oliebedrijf, een medisch technologiebedrijf, een bank-IT-leverancier. Ze hebben niets gemeen, behalve hun softwareleverancier.

Hoe ransomwaregroep Clop binnenkwam

De technische kant is minder ingewikkeld dan je zou hopen, en dat is precies wat dit verhaal ongemakkelijk maakt.

Het gat in Windchill en FlexPLM

Het lek heeft de code CVE-2026-12569 en zit in Windchill en het verwante FlexPLM. Het gaat om een kwetsbaarheid waarmee een aanvaller op afstand code kan uitvoeren zónder eerst in te loggen — de zwaarste categorie die er is. PTC geeft het een score van 9,3 op een schaal van 10; de Amerikaanse nationale database komt zelfs op 9,8 uit. Alles onder versie 11.0 M030 is kwetsbaar.

De tijdlijn: patch in juni, afpersing in juli

PTC bracht op 17 juni een reparatie uit. Onderzoekers vermoeden dat Clop het gat toen al zeker twee weken misbruikte als zogeheten zero-day — een lek dat criminelen eerder vonden dan de maker. Eind juni zette de Amerikaanse cyberwaakhond CISA het op de lijst van bewezen misbruikte kwetsbaarheden. Rond 19 en 20 juli begonnen bedrijven afpersingsberichten te krijgen. Pas nu, half augustus, komen de namen naar buiten.

Tussen de patch en de afpersing zat dus ruim een maand. Dat is de echte les: wie zijn Windchill-server in die weken niet bijwerkte, was al lang leeg geplukt voordat er iemand aanbelde.

Wat Shell en Philips er zelf over zeggen

Philips is het meest concreet. Tegenover Security.NL laat het bedrijf weten dat het de aanval heeft opgemerkt en gestopt, en dat klanten er niets van merken.

Philips heeft deze poging tot een cyberaanval op een specifieke bedrijfsserver met interne gegevens geïdentificeerd en onder controle gebracht.

Shell houdt het korter en zegt tegen de NOS op de hoogte te zijn van een mogelijk incident, waarbij eigen beveiligingsmensen en externe experts uitzoeken wat er precies is gebeurd. Fiserv meldde geen aanwijzingen te hebben dat klant-, bank- of transactiegegevens zijn geraakt. GE zegt zijn crisisprocedure te hebben opgestart. Geen van de vier ontkent dat er een server is aangeraakt.

Shell stond hier al eerder op

Dit is niet Shells eerste kennismaking met deze groep. In maart 2021 dook het bedrijf ook al op in een Clop-lek, destijds via een gehackt bestandsuitwisselingssysteem, meldde The Register toen. Vijf jaar later, hetzelfde patroon: niet Shell was het doelwit, maar een leverancier waar Shell op vertrouwde.

Nederland kent de groep sowieso. Clop legde eind 2019 de Universiteit Maastricht plat en dwong daar losgeld af — de zaak die het onderwerp hier voorgoed van de IT-afdeling naar de bestuurskamer verplaatste. De groep is sinds 2019 actief en haalde volgens schattingen die de NOS aanhaalt zo'n 500 miljoen dollar op, omgerekend ruim 450 miljoen euro.

Wat je hier zelf mee moet

Voor consumenten verandert er vandaag weinig. Er is geen enkele aanwijzing dat klantgegevens, betaalpassen of medische dossiers in deze buit zitten; het gaat om interne techniek. Wees daarom juist alert op mailtjes die het tegenovergestelde beweren — een grote hack in het nieuws is altijd het startsein voor phishing die erop meelift.

Werk je bij een productiebedrijf, dan is de opdracht simpeler en dringender: zoek uit of je Windchill of FlexPLM draait, controleer of je op 11.0 M030 of hoger zit, en kijk in de logboeken terug tot begin juni — niet tot de patchdatum. Houd de komende weken de afperssite-berichtgeving in de gaten. Clop publiceert doorgaans pas ná een deadline, dus de lijst met Nederlandse namen kan nog langer worden.