Philips har stoppat ett försök till intrång på en intern server och Shell utreder en möjlig säkerhetsincident. Samtidigt hävdar ransomwaregruppen Cl0p att den har stulit över 100 GB data från de två europeiska jättarna. Uppgifterna om själva datastölden är ännu inte bekräftade.

Philips och Shell har hamnat i centrum för en ny cyberattack som kopplas till den ökända ransomwaregruppen Cl0p.

Philips bekräftar att gruppen riktat in sig på bolaget och att ett försök gjorts att kompromettera en specifik intern företagsserver. Enligt Philips identifierades och stoppades angreppet, och företagets kundmiljöer ska inte ha påverkats.

För Shell är läget mer oklart. Energijätten uppger att man känner till en möjlig incident och att den nu utreds av bolagets säkerhetsteam tillsammans med externa experter.

Cl0p går betydligt längre i sina egna påståenden.

Gruppen hävdar att den har stulit omkring 89 GB data från Shell och ytterligare 13,5 GB från Philips. Varken företagen eller oberoende källor har hittills bekräftat att Cl0p faktiskt har kommit över dessa datamängder.

Cl0p påstår sig ha fått tekniska dokument

Det som gör uppgifterna särskilt känsliga är typen av material som Cl0p säger sig ha kommit över.

Från Shell påstår gruppen att det stulna materialet bland annat innehåller tekniska ritningar, bilder från anläggningar, inskannade test- och kontrollrapporter samt projektplaner.

När det gäller Philips hävdar Cl0p att materialet bland annat består av PDF-ritningar, diagram och andra tekniska dokument.

Om uppgifterna är riktiga handlar det alltså inte bara om traditionella kundregister eller kontaktuppgifter. Den typen av teknisk och intern företagsinformation kan vara mycket känslig även om inga centrala IT-system slås ut.

Men det är viktigt att skilja på vad Cl0p säger och vad som faktiskt är fastställt.

Gruppen har hittills inte offentliggjort material som styrker omfattningen av den påstådda datastölden. Philips har bekräftat själva intrångsförsöket, medan Shell fortfarande beskriver det som en möjlig incident som utreds.

Ransomware handlar inte längre bara om låsta datorer

Cl0p är ett tydligt exempel på hur ransomwarehotet har förändrats.

Den klassiska bilden av ett ransomwareangrepp är att angriparen krypterar ett företags datorer och kräver pengar för att låsa upp systemen. Men för flera stora ransomwaregrupper har datastöld blivit minst lika viktig.

Information kopieras ut ur företagets nätverk och används sedan som påtryckningsmedel. Offret kan hotas med att känsliga dokument publiceras eller säljs om företaget inte betalar.

Den amerikanska cybersäkerhetsmyndigheten CISA:s genomgång av Cl0p beskriver hur gruppen under tidigare kampanjer har flyttat allt större fokus mot just stöld av data.

Det innebär också att ett cyberangrepp inte behöver slå ut ett helt företag för att få allvarliga konsekvenser.

Om angriparen lyckas komma över interna ritningar, projektplaner, testresultat eller annan företagskritisk information kan skadan uppstå även om produktionen fortsätter som vanligt och företagets kundsystem fungerar.

Shell har drabbats av Cl0p tidigare

För Shell är kopplingen till Cl0p inte ny.

Energibolaget berördes redan 2021 av den omfattande attackkampanjen mot filöverföringssystem från Accellion.

Två år senare, 2023, drabbades Shell återigen när Cl0p utnyttjade en sårbarhet i MOVEit, ett filöverföringsverktyg som användes av mängder av organisationer världen över.

Den gången uppgav Shell att en begränsad grupp anställda och kunder berördes och att bolagets centrala IT-system inte visade några tecken på att ha påverkats.

Den nya händelsen innebär därmed att Shell ännu en gång kopplas till Cl0p.

Det är däremot inte känt om det finns någon teknisk koppling mellan de tidigare attackerna och den möjliga incident som nu utreds. Någon angreppsväg eller specifik sårbarhet bakom händelserna hos Shell och Philips har ännu inte offentliggjorts.

Stora europeiska bolag är attraktiva mål

Philips och Shell verkar inom helt olika branscher, men båda sitter på stora mängder information som kan vara attraktiv för cyberkriminella.

Shell är en av Europas största energikoncerner och har omfattande industriella anläggningar, projekt och tekniska system runt om i världen.

Philips är en stor aktör inom hälsoteknik, medicintekniska system och annan avancerad teknisk verksamhet.

Det är därför inte svårt att förstå varför bolag av den här storleken blir intressanta mål.

Samtidigt visar attackerna en bredare risk för europeiska företag. Angriparen behöver inte nödvändigtvis slå ut kraftverk, fabriker eller vårdsystem för att skapa ett allvarligt säkerhetsproblem. Tillgång till känslig intern information kan i sig vara tillräckligt för att sätta ett företag under hård press.

För svenska företag är hotbilden densamma.

Stora koncerner är beroende av mängder av interna system, leverantörer och programvaror. Varje sådan koppling kan potentiellt bli en väg in för en angripare.

Fortfarande många obesvarade frågor

Den viktigaste frågan är nu om Cl0p faktiskt har kommit över de datamängder som gruppen påstår.

För Philips vet vi att ett försök till intrång mot en intern server har ägt rum och stoppats. För Shell pågår fortfarande utredningen av vad bolaget beskriver som en möjlig incident.

Däremot är uppgifterna om sammanlagt drygt 100 GB stulna data fortfarande Cl0ps egna.

Det är därför för tidigt att säga hur allvarliga konsekvenserna blir för företagen.

Men händelsen visar redan nu varför stora ransomwaregrupper fortfarande är ett betydande hot mot Europas största bolag. Det räcker inte längre att tänka på ransomware som datorer som plötsligt slutar fungera.

I många av de mest uppmärksammade attackerna är den verkligt värdefulla tillgången informationen som angriparen lyckas ta med sig ut.