Un mese fa avevamo raccontato lo sfruttamento attivo della CVE-2026-12569 nelle piattaforme PLM di PTC, con l'ingresso della falla nel catalogo KEV della CISA. Ora c'è un nome dietro quegli attacchi, ed è uno dei più temuti del panorama ransomware: Cl0p. Il gruppo sta conducendo una campagna di furto dati ed estorsione contro le istanze di Windchill e FlexPLM esposte su internet, con l'obiettivo di sottrarre il bene più prezioso delle aziende manifatturiere: i progetti dei prodotti.

Lo sviluppo: da exploit anonimo a campagna di estorsione

Secondo le ricostruzioni pubblicate tra il 24 e il 25 luglio, gli operatori di Cl0p sfruttano la falla — una RCE senza autenticazione con punteggio CVSS fino a 9,8 secondo le analisi più recenti — concatenando due debolezze: una divulgazione di informazioni pre-autenticazione nell'endpoint WSDL di FlexPLM e un difetto nel servlet di login di Windchill. La catena consente di eseguire codice sul server senza alcun account valido; a quel punto gli attaccanti installano webshell JSP e avviano l'esfiltrazione silenziosa dei dati dalle piattaforme compromesse.

La falla era stata divulgata il 17 giugno e inserita nel catalogo KEV della CISA il 25 giugno: chi non ha applicato le patch in queste settimane ha lasciato la porta aperta proprio nella finestra in cui Cl0p industrializzava lo sfruttamento.

Le email di estorsione

Il copione è quello già visto: niente cifratura, niente ransomware in senso stretto. Le vittime ricevono email di estorsione inviate a centinaia di dipendenti contemporaneamente, spedite da account compromessi di terze parti per aggirare i filtri, con i contatti aggiornati del gruppo e la minaccia di pubblicare i dati sottratti. È la firma operativa di Cl0p, la stessa delle campagne di massa contro MOVEit Transfer, Cleo e, a inizio anno, Oracle E-Business Suite — di cui avevamo visto le conseguenze sul gruppo Allianz UK. Il gruppo ha trasformato lo sfruttamento seriale di software enterprise in un modello di business: individuare una piattaforma diffusa, colpirla in massa, estorcere su larga scala.

Cosa significa per le aziende italiane

Questa campagna tocca l'Italia in un punto sensibile. Le piattaforme PLM custodiscono i gioielli della corona del manifatturiero: disegni CAD, distinte base, specifiche tecniche, costi industriali, anagrafiche fornitori. E FlexPLM è lo standard de facto nel settore moda e retail: è usato da brand, licenziatari e filiere produttive per gestire collezioni, materiali e campionari. Per un Paese la cui economia poggia su moda, lusso, meccanica, automotive e aerospazio — i settori esattamente nel mirino della campagna — il rischio non è teorico.

C'è una differenza sostanziale rispetto a un ransomware classico: qui il danno è irreversibile per natura. Un sistema cifrato si può ripristinare dai backup; un archivio di progetti finito nelle mani sbagliate non si «ripristina». La proprietà intellettuale sottratta può alimentare contraffazione e concorrenza sleale, e per chi produce in licenza per grandi brand la fuga di dati altrui significa anche responsabilità contrattuali e violazione degli NDA — un danno di filiera, non solo aziendale.

Sul piano normativo, il manifatturiero rientra tra i settori coperti dalla NIS2: per i soggetti essenziali e importanti un'esfiltrazione di questo tipo è un incidente significativo, con pre-notifica ad ACN/CSIRT Italia entro 24 ore e notifica entro 72. Se tra i dati sottratti ci sono informazioni su dipendenti o clienti, si aggiunge la valutazione di notifica al Garante ex art. 33 GDPR. E ricevere un'email di estorsione con campioni dei propri file è, a tutti gli effetti, la conferma di una violazione già avvenuta.

Cosa fare subito

  • Applicare senza ulteriori rinvii le correzioni PTC per Windchill e FlexPLM indicate nell'advisory ufficiale.
  • Togliere le istanze PLM dall'esposizione diretta su internet: l'accesso di partner e fornitori deve passare da VPN o ZTNA.
  • Cercare webshell JSP nelle directory web delle applicazioni: file .jsp recenti o anomali, task schedulati e utenze create di recente.
  • Analizzare i log delle ultime settimane: richieste sospette verso l'endpoint WSDL di FlexPLM e il servlet di login di Windchill, trasferimenti dati anomali in uscita.
  • Segmentare la piattaforma PLM dal resto della rete e attivare monitoraggio dell'egress (DLP, volumi di traffico verso host esterni).
  • In caso di email di estorsione: non rispondere d'impulso e non pagare senza una valutazione, attivare l'incident response, verificare l'effettiva esfiltrazione, denunciare alla Polizia Postale e valutare gli obblighi di notifica verso ACN e Garante.

Per Cl0p i progetti industriali valgono quanto i dati personali: la differenza è che le aziende li proteggono molto meno.