De criminelen achter de Clop-ransomware hebben meerdere bedrijven afgeperst, waarbij ze beweren allerlei vertrouwelijke data te hebben gestolen. Als de ondernemingen niet betalen dreigen de criminelen de buitgemaakte gegevens te zullen publiceren. Voor het stelen van de data zou gebruik zijn gemaakt van een kritieke kwetsbaarheid (CVE-2026-12569) in PTC Windchill en FlexPLM. Windchill en FlexPLM zijn twee platforms van PTC voor het beheer van de levenscyclus van producten. Zo kunnen bedrijven via deze platforms de ontwerp-, productie- en distributieprocessen beheren.

Op 17 juni waarschuwde PTC voor CVE-2026-12569 en riep klanten op om de genoemde mitigatiemaatregelen meteen door te voeren. Volgens de leverancier maakten aanvallers misbruik van de kwetsbaarheid om servers met webshells te infecteren. Webshell is software waardoor een aanvaller toegang tot een gecompromitteerd systeem kan behouden en verdere aanvallen kan uitvoeren. PTC kwam ook met Indicators of Compromise waarmee klanten kunnen controleren of hun systemen zijn gecompromitteerd.

Volgens cybersecuritybedrijf Defused en Ransom-ISAC werd het Windchill-lek al sinds begin juni bij aanvallen gebruikt en hebben de aanvallers van de gehackte servers allerlei vertrouwelijke data gestolen. Bedrijven actief in de productie-, automotive, luchtvaart- en retailsectoren zijn bij de aanvallen getroffen en inmiddels ook afgeperst. Organisaties die de afpersingsmails ontvangen worden opgeroepen om goed hun systemen te controleren.

De Clop-ransomwaregroep heeft een eigen website waarop het de namen van slachtoffers noemt. Daar is het bij deze specifieke campagne nog niet mee begonnen. Vaak gebeurt dat later om de betreffende bedrijven extra onder druk te zetten als ze niet of niet op tijd reageren of weigeren te betalen. De criminelen achter Clop, ook wel Cl0p genoemd, waren ook verantwoordelijk voor de ransomware-aanval op de Universiteit Maastricht van een aantal jaren geleden.