Agosto 2026 passerà agli annali come uno dei mesi peggiori per la sicurezza informatica europea. Da un lato la banda Clop sfrutta una falla critica in PTC Windchill e FlexPLM per colpire almeno 43 aziende, tra cui Shell, GE e Philips. Dall’altro la DGFiP, l’agenzia delle entrate francese, ammette una violazione che ha esposto i dati di 678.000 contribuenti. Due incidenti diversi per origine e tecnica, ma che raccontano la stessa storia: i sistemi che gestiscono dati industriali e fiscali restano bersagli di prima scelta, e le organizzazioni continuano a scoprirlo con settimane o mesi di ritardo.
Il caso Windchill è una campagna di furto dati su scala industriale che sfrutta una vulnerabilità nota da giugno. Il caso DGFiP è invece un classico furto di credenziali, aggravato da una comunicazione pubblica arrivata quasi due mesi dopo i primi accessi illegittimi. Messi insieme, i due episodi offrono un quadro utile per capire dove si sta spostando il rischio nel 2026: non solo ransomware con cifratura, ma estorsione basata sul furto puro di dati, contro bersagli che vanno dalle multinazionali dell’energia alle amministrazioni pubbliche.
Una doppia crisi per la sicurezza informatica europea
Le due vicende sono emerse quasi in parallelo a metà agosto, ma affondano le radici in mesi diversi. La falla in Windchill è stata corretta da PTC il 17 giugno 2026, eppure gli attacchi proseguono ancora oggi contro le installazioni non aggiornate. La violazione DGFiP risale invece a giugno-luglio, con accessi interrotti a fine giugno e rivendicati pubblicamente solo il 12 agosto su un forum criminale, secondo quanto riportato da BleepingComputer.
Il denominatore comune è il ritardo. In entrambi i casi, tra la prima compromissione e la comunicazione pubblica sono passate settimane. Per Windchill, PTC ha reso disponibili le patch a metà giugno, ma i primi indicatori di sfruttamento attivo sono comparsi appena un giorno dopo, segno che gli aggressori monitoravano già l’infrastruttura target. Per la DGFiP, il governo francese ha ammesso l’incidente solo dopo che un attore identificato con lo pseudonimo “ZeroBytes” ha messo in vendita il database rubato sul forum PwnForums.
CVE-2026-12569: la falla critica in PTC Windchill e FlexPLM
Al centro della prima crisi c’è CVE-2026-12569, una vulnerabilità di deserializzazione di dati non attendibili in PTC Windchill PDMLink e FlexPLM, due piattaforme di gestione del ciclo di vita del prodotto (PLM) usate da produttori industriali, aziende automotive, aerospaziali e del largo consumo. Il bug ha ricevuto un punteggio CVSS di 9,3 e permette l’esecuzione di codice da remoto senza autenticazione: basta avere accesso di rete al server vulnerabile, senza credenziali e senza alcuna interazione da parte della vittima, come confermano The Hacker News e SecurityWeek.
La catena d’attacco si appoggia anche a una seconda falla, un difetto di divulgazione di informazioni pre-autenticazione in FlexPLM con CVSS 7,5. Combinando le due vulnerabilità con un ulteriore difetto nel servlet di login di Windchill, gli aggressori ottengono un’esecuzione di codice completa senza mai dover autenticarsi. La scheda tecnica pubblicata su NVD descrive il problema come una gestione impropria di dati esterni non validati, tipico di applicazioni enterprise costruite su stack Java datati.
PTC ha rilasciato le patch il 17 giugno 2026, applicabili a tutte le versioni CPS e alle release precedenti a Windchill 11.0 M030. CISA ha aggiunto la falla al proprio catalogo Known Exploited Vulnerabilities, imponendo alle agenzie federali statunitensi di mettere in sicurezza le istanze Windchill e FlexPLM entro tre giorni, un termine tra i più stretti dell’anno per un singolo CVE.
Quante istanze sono esposte online
I numeri sull’esposizione raccontano quanto la superficie d’attacco sia ristretta ma preziosa. Al 1° giugno 2026 le istanze Windchill raggiungibili da Internet erano meno di 100. Al 20 luglio 2026, secondo l’analisi di Censys citata da The Hacker News, il numero era salito a circa 80, con l’80% ospitato negli Stati Uniti e quasi un quarto su infrastruttura Akamai. Più di 30.000 organizzazioni nel mondo usano PTC Windchill o FlexPLM in qualche forma, secondo le stime riprese da Tech Times, il che rende il bacino di potenziali vittime molto più ampio del numero di server esposti pubblicamente.
La catena d’attacco di Clop: ricognizione, web shell, furto dati
Il gruppo dietro la campagna è Clop (noto anche come Cl0p), attivo con gli alias Chubby Scorpius, FIN11, Graceful Spider e Lace Tempest. Gli affiliati eseguono prima una ricognizione automatizzata sugli endpoint WSDL di FlexPLM per raccogliere informazioni utili, poi sfruttano la falla nel servlet di login di Windchill insieme a CVE-2026-12569 per ottenere l’esecuzione di codice non autenticata.
Una volta dentro, gli aggressori installano web shell JSP con nomi esadecimali nella directory /Windchill/login/, uno schema già osservato in campagne precedenti dello stesso gruppo. Le web shell permettono di decifrare credenziali salvate, eseguire comandi arbitrari, enumerare file e preparare i dati per l’esfiltrazione. L’obiettivo non è cifrare i sistemi, ma sottrarre in silenzio dati di progettazione, distinte base, specifiche di prodotto e altra proprietà intellettuale, per poi minacciarne la pubblicazione se l’azienda non paga.
L’analisi tecnica coordinata da Ransom-ISAC insieme a eCrime.ch e DEFUSED, oltre alle osservazioni di ReliaQuest, ha permesso di attribuire la campagna a Clop con un buon livello di confidenza, anche grazie a un set di indirizzi IP ricorrenti nell’infrastruttura d’attacco. Le organizzazioni bersaglio ricadono soprattutto nei settori manifatturiero, automotive, aerospaziale e retail, gli stessi verticali che tipicamente affidano a Windchill la gestione dei propri dati di prodotto.
Le vittime: Shell, GE, Philips e la corsa alle 43 aziende colpite
Secondo la ricostruzione pubblicata da Tech Times il 15 agosto 2026, la campagna ha già raggiunto almeno 43 vittime, con tre nomi confermati tra i più noti: Shell (energia), GE (industria) e Philips (elettronica e sanità). Altri rapporti citano vittime aggiuntive nei settori aerospaziale, difesa, automotive e beni di consumo, senza però fornire un elenco esaustivo e verificato di tutte le organizzazioni coinvolte.
Non risultano, al momento della pubblicazione di questo articolo, aziende italiane nominate esplicitamente tra le vittime confermate della campagna Windchill. Questo non significa che il rischio sia nullo: l’Italia ospita una filiera manifatturiera e automotive ampia, spesso fornitrice di gruppi europei più grandi che usano proprio piattaforme PLM come Windchill per gestire la collaborazione con i fornitori.
Il fronte francese: la DGFiP e i dati di 678.000 contribuenti
Mentre la campagna Windchill proseguiva, la Francia ha dovuto affrontare quella che il primo ministro ha definito uno degli attacchi più gravi mai subiti dai dati dello Stato. La DGFiP, l’amministrazione fiscale francese, ha confermato che un attore malevolo ha avuto accesso ai propri sistemi informativi tra giugno e luglio 2026, sottraendo dati relativi a 678.000 persone fisiche e professionisti, secondo il comunicato ufficiale ripreso da Security Affairs.
A differenza del caso Windchill, qui non c’è alcuna vulnerabilità software sfruttata. Il governo francese ha spiegato che l’intrusione è avvenuta tramite furto di identità, ovvero l’uso improprio delle credenziali di un funzionario DGFiP e di un terzo autorizzato ad accedere ai sistemi. Il portale pubblico impots.gouv.fr e gli spazi personali di cittadini e imprese non risultano compromessi: gli aggressori sono passati dai sistemi interni, non dal sito che i contribuenti usano per dichiarare le tasse.
Cosa è stato rubato
I dati sottratti includono il reddito fiscale di riferimento, il quoziente familiare e l’aliquota di ritenuta alla fonte per le persone fisiche, oltre a ragione sociale e numero SIREN per le imprese. A questo si aggiunge un secondo filone, riportato da Boursorama: una fuga distinta di dati catastali, indirizzi e superficie degli immobili, che riguarderebbe altri 430.000 cittadini. Il 18 agosto 2026 il direttore generale della DGFiP ha confermato in conferenza stampa una terza violazione, questa volta relativa ai fascicoli di successione, individuata e bloccata rapidamente.
La reazione delle autorità
La Procura di Parigi ha aperto un’indagine formale il 15 agosto 2026. Due giorni dopo, il primo ministro ha convocato una cellula di crisi interministeriale per valutare l’impatto dell’incidente. Il governo ha annunciato l’invio di notifiche individuali ai cittadini coinvolti a partire dal 17 agosto e ha chiarito, tramite analisi legali riprese da diversi siti specializzati, che l’obbligo di pagare le tasse resta invariato: la violazione dei dati non costituisce un motivo legittimo per rifiutarsi di versare quanto dovuto.
Cronologia degli eventi
La tabella seguente ricostruisce la sequenza temporale delle due vicende, utile per capire quanto tempo è trascorso tra compromissione, scoperta e comunicazione pubblica.
| Data | Evento |
|---|---|
| 17 giugno 2026 | PTC rilascia le patch per Windchill PDMLink e FlexPLM (CVE-2026-12569) |
| 18 giugno 2026 | PTC conferma i primi indicatori di sfruttamento attivo |
| 29 giugno 2026 | HelpNetSecurity documenta web shell su istanze Windchill non aggiornate |
| Fine giugno 2026 | Accessi non autorizzati ai sistemi DGFiP, interrotti dopo un audit interno |
| 20 luglio 2026 | Censys rileva circa 80 istanze Windchill esposte online |
| 12 agosto 2026 | L’attore “ZeroBytes” rivendica la violazione DGFiP sul forum PwnForums |
| 13 agosto 2026 | La DGFiP conferma pubblicamente l’incidente |
| 14 agosto 2026 | Il governo francese pubblica i dettagli: 678.000 persone coinvolte |
| 15 agosto 2026 | La Procura di Parigi apre un’indagine formale; Tech Times riporta 43 vittime Clop, tra cui Shell, GE e Philips |
| 17 agosto 2026 | Il primo ministro francese convoca una cellula di crisi interministeriale |
| 18 agosto 2026 | La DGFiP conferma una terza fuga di dati, relativa alle successioni |
Chi è Clop: da MOVEit a GoAnywhere, la storia di un predatore seriale
Clop non è un nuovo arrivato. Il gruppo è attivo almeno dalla metà degli anni 2010 e si è specializzato in campagne di “big-game hunting” contro grandi aziende, spesso privilegiando il furto puro di dati rispetto alla cifratura classica. La svolta che ha reso Clop famoso è arrivata con lo sfruttamento massiccio di software di trasferimento file: prima Accellion FTA nel 2020-2021, poi GoAnywhere MFT nel 2023, infine la campagna contro Progress MOVEit Transfer, sempre nel 2023, che ha colpito centinaia di organizzazioni e milioni di persone in tutto il mondo.
Il tratto distintivo di Clop è la ripetibilità del metodo: individuare una vulnerabilità critica in un software enterprise poco visibile ma ampiamente diffuso, sfruttarla su larga scala prima che le vittime se ne accorgano, poi passare alla fase di estorsione pubblicando elenchi di vittime sul proprio sito di data leak per fare pressione sui pagamenti. La campagna Windchill segue lo stesso copione, con una differenza: il bersaglio non sono file generici, ma dati di progettazione industriale ad alto valore, spesso coperti da segreto commerciale.
Confronto con le altre campagne di mass-exploitation del 2026
Per capire dove si colloca la campagna Windchill nel panorama delle violazioni 2026, vale la pena confrontarla con altri episodi recenti, incluse le due precedenti campagne Clop e un caso di vulnerabilità critica coperto in precedenza da questa testata.
| Campagna | Anno | Vettore d’attacco | Vittime stimate | Dati sottratti |
|---|---|---|---|---|
| Clop / PTC Windchill (CVE-2026-12569) | 2026 | RCE non autenticata via deserializzazione | Almeno 43 organizzazioni | Dati PLM, progettazione, proprietà intellettuale |
| DGFiP (Francia) | 2026 | Furto di credenziali di un dipendente | 678.000 contribuenti + 430.000 via catasto | Dati fiscali, catastali, successori |
| Clop / MOVEit Transfer | 2023 | SQL injection in software di trasferimento file | Centinaia di organizzazioni, milioni di persone | Dati personali e aziendali |
| Clop / GoAnywhere MFT | 2023 | Vulnerabilità in software di managed file transfer | Decine di organizzazioni | Dati aziendali sensibili |
| Metabase (CVE-2026-72898) | 2026 | SQL injection critica, CVSS 10,0 | Migliaia di istanze esposte | Accesso amministrativo a dashboard aziendali |
Il confronto mostra una tendenza chiara: le campagne più efficaci del 2026 non colpiscono più solo software rivolto agli utenti finali, ma applicazioni di back-office che gestiscono dati ad alto valore e che spesso restano esposte online per mesi prima che qualcuno se ne accorga. Windchill e FlexPLM rientrano in questa categoria tanto quanto Metabase, di cui questa testata ha già raccontato lo sfruttamento della falla CVE-2026-72898.
L’impatto sul mercato: PLM, assicurazioni cyber e fiducia dei fornitori
L’impatto economico diretto della campagna Windchill è ancora difficile da quantificare, perché nessuna fonte ha pubblicato cifre di riscatto verificate. Quello che si può osservare è l’effetto indiretto sul mercato dei sistemi PLM: aziende che affidano a Windchill la gestione di distinte base e specifiche tecniche devono ora considerare un rischio concreto di furto di proprietà intellettuale, non solo di interruzione operativa. Per settori come l’automotive e l’aerospaziale, dove un disegno tecnico può valere anni di investimenti in ricerca e sviluppo, la sola possibilità di esfiltrazione cambia il calcolo del rischio.
Sul fronte assicurativo, gli incidenti che coinvolgono furto di proprietà intellettuale tendono a generare polizze più costose e clausole più restrittive rispetto ai classici ransomware con cifratura, perché la valutazione del danno è più incerta e il rischio di contenziosi con i clienti a valle della catena di fornitura è più alto. Per la DGFiP, l’impatto principale non è economico ma reputazionale e politico: un’amministrazione che gestisce i dati fiscali di milioni di cittadini ha impiegato quasi due mesi per comunicare pubblicamente un incidente scoperto internamente, un ritardo che alimenta il dibattito europeo sui tempi di notifica delle violazioni.
Il rischio per l’Italia e le aziende europee
Nessuna fonte consultata cita finora aziende italiane tra le vittime dirette della campagna Windchill, ma il contesto generale della cybersicurezza italiana resta teso. Secondo il bollettino operativo semestrale dell’Agenzia per la Cybersicurezza Nazionale, ripreso da CyberSecItalia, gli attacchi ransomware in Italia sono diminuiti del 12% nei primi sei mesi del 2026 rispetto allo stesso periodo del 2025. Il dato positivo si accompagna però a una frammentazione crescente: nella prima metà di agosto sono state osservate otto sigle criminali diverse rivendicare vittime nella stessa settimana, un segnale coerente con un modello Ransomware-as-a-Service ormai accessibile a chiunque abbia un minimo di competenza tecnica.
L’Italia resta tra le prime cinque posizioni europee per incidenza di attacchi informatici, con un tessuto di piccole e medie imprese spesso poco protette e una pubblica amministrazione esposta all’hacktivismo geopolitico. Per le aziende italiane che fanno parte di filiere automotive o aerospaziali europee, e che quindi potrebbero condividere dati di progettazione con clienti o fornitori che usano Windchill, il rischio non è diretto ma indiretto: basta un partner compromesso perché dati riservati finiscano comunque nelle mani sbagliate.
Le contromisure: cosa devono fare ora i team di sicurezza
Per chi gestisce installazioni Windchill o FlexPLM, le indicazioni emerse dall’analisi degli incidenti sono chiare. Primo: applicare senza ritardo le patch rilasciate da PTC il 17 giugno 2026, verificando la versione installata rispetto alla soglia di sicurezza 11.0 M030. Secondo: rimuovere l’esposizione diretta a Internet dei server Windchill dove non strettamente necessaria, preferendo l’accesso tramite VPN o reti segmentate. Terzo: cercare attivamente web shell JSP con nomi esadecimali nella directory /Windchill/login/ e controllare i log per accessi anomali agli endpoint WSDL di FlexPLM.
Per le organizzazioni che gestiscono dati sensibili tramite account con privilegi elevati, come nel caso DGFiP, la lezione è diversa ma complementare: il monitoraggio degli accessi privilegiati e la rotazione periodica delle credenziali restano difese più semplici da implementare rispetto al patching di software complesso, ma vengono ancora trascurate. Un audit interno ha permesso alla DGFiP di interrompere gli accessi illegittimi a fine giugno, prima che l’incidente diventasse pubblico: un segnale che i controlli esistevano, ma sono arrivati con settimane di ritardo rispetto alla prima compromissione.
Previsioni: cosa aspettarsi nei prossimi mesi
- Il conteggio delle vittime Windchill salirà. Con circa 80 istanze ancora esposte a luglio e oltre 30.000 organizzazioni che usano la piattaforma in qualche forma, è probabile che il numero di vittime confermate superi quota 43 nelle prossime settimane.
- Altre amministrazioni pubbliche europee rivedranno i controlli sugli accessi privilegiati. Il caso DGFiP, arrivato dopo altri incidenti simili nella pubblica amministrazione europea, spingerà probabilmente altre agenzie fiscali a rafforzare l’audit sulle credenziali interne.
- Cresceranno le pressioni per tempi di notifica più stretti. Il ritardo di quasi due mesi tra la scoperta interna e la comunicazione pubblica della violazione DGFiP alimenterà il dibattito sull’applicazione più severa degli obblighi di notifica già previsti da GDPR e NIS2.
- Clop continuerà a colpire software di back-office poco visibile. Dopo Accellion, GoAnywhere, MOVEit e ora Windchill, lo schema è consolidato: individuare applicazioni enterprise critiche ma poco monitorate resta la strategia più redditizia per il gruppo.
- Le assicurazioni cyber inizieranno a differenziare le polizze per il rischio di furto di proprietà intellettuale, distinguendolo sempre più nettamente dal rischio di interruzione operativa legato al ransomware classico.
Domande frequenti
Cos’è CVE-2026-12569?
È una vulnerabilità critica (CVSS 9,3) di deserializzazione di dati non attendibili in PTC Windchill PDMLink e FlexPLM, che permette l’esecuzione di codice da remoto senza autenticazione. PTC ha rilasciato le patch il 17 giugno 2026.
Chi è il gruppo Clop e perché ha colpito Windchill?
Clop (Cl0p) è un gruppo di estorsione attivo dalla metà degli anni 2010, noto per aver sfruttato in passato Accellion FTA, GoAnywhere MFT e MOVEit Transfer. Ha colpito Windchill perché la piattaforma gestisce dati di progettazione industriale ad alto valore, ideali per campagne di estorsione basate sul furto dati.
Quali aziende sono state confermate come vittime?
Shell, GE e Philips sono le tre organizzazioni nominate esplicitamente in una campagna che, secondo Tech Times, ha già raggiunto almeno 43 vittime complessive al 15 agosto 2026.
Cosa è successo alla DGFiP in Francia?
Un attore malevolo ha avuto accesso ai sistemi dell’amministrazione fiscale francese tra giugno e luglio 2026 tramite furto delle credenziali di un dipendente, sottraendo dati relativi a 678.000 contribuenti e professionisti, più altri 430.000 tramite una fuga distinta di dati catastali.
La violazione DGFiP è collegata alla campagna Clop su Windchill?
No. Le fonti disponibili non collegano i due incidenti. La violazione DGFiP deriva da furto di credenziali interne, non dallo sfruttamento di CVE-2026-12569 o di altre vulnerabilità software.
Ci sono aziende italiane coinvolte?
Nessuna fonte consultata cita finora aziende italiane tra le vittime dirette della campagna Windchill o della violazione DGFiP. Il rischio per le aziende italiane resta principalmente indiretto, tramite catene di fornitura condivise con vittime europee.
Cosa devono fare le aziende che usano Windchill o FlexPLM?
Applicare subito le patch di giugno 2026, verificare la versione installata rispetto alla soglia 11.0 M030, limitare l’esposizione diretta a Internet dei server e cercare web shell JSP nella directory /Windchill/login/.
I contribuenti francesi devono ancora pagare le tasse nonostante la violazione?
Sì. Le autorità francesi hanno chiarito che la violazione dei dati non modifica l’obbligo fiscale: il mancato pagamento può comunque generare sanzioni, indipendentemente dall’incidente.
Related Coverage
- Metabase CVE-2026-72898: CVSS 10.0, Migliaia Esposte
- CISA KEV: 16 Falle in 3 Settimane, 4 Critiche
- Breach LiteLLM: 153 GB di Credenziali Rubate
- France Titres Violata: 19 Milioni di Identità Esposte
- Italia Sotto Ransomware: 15 Vittime in 7 Giorni
- Zero-Day SonicWall SMA1000: 380 Appliance Esposte
Per il quadro generale sulla sicurezza informatica in Italia ed Europa, consulta la sezione Sicurezza di shattered.io.
