Esta semana, en empresas industriales de medio mundo, cientos de personas han recibido el mismo correo: «tenemos vuestros datos». Sin pantallas bloqueadas, sin ficheros con extensión rara, sin nota de rescate en el escritorio. Cl0p ha vuelto y ni se ha molestado en cifrar nada: ha entrado por el sistema que gestiona los diseños de producto —PTC Windchill y FlexPLM—, se ha llevado lo que había y ha pasado directamente a la caja.
Si tu plan contra el ransomware empieza y acaba en «tenemos backups», este incidente te interesa especialmente. Porque aquí los backups no pintan nada.
Qué ha pasado, con los hechos por delante
Afiliados de Cl0p están explotando CVE-2026-12569, una vulnerabilidad crítica (CVSS 9,3) en el servlet de login de PTC Windchill que permite ejecución remota de código sin autenticación, encadenada con una fuga de información pre-autenticación en el endpoint WSDL de FlexPLM (CVSS 7,5). Con eso plantan webshells JSP con nombres hexadecimales bajo /Windchill/login/, enumeran el sistema de ficheros y exfiltran datos de ingeniería y de producto. Después llegan los correos de extorsión, enviados desde cuentas previamente comprometidas, a cientos de usuarios de cada empresa, con el contacto del grupo.
Las víctimas son quienes usan estas plataformas: fabricación, automoción, aeroespacial, defensa, maquinaria pesada, retail y medtech. No es un nicho pequeño: PTC declara más de 30.000 clientes en el mundo, y más de 1.500 marcas de retail usan FlexPLM. La explotación activa la detectó ReliaQuest, que lo publicó el jueves 23 de julio; Ransom-ISAC lo confirmó de inmediato. En Alemania, el BSI llegó a llamar a clientes de PTC de madrugada para avisarles.
La cronología importa: PTC empezó a publicar parches el 17 de junio. CISA metió la vulnerabilidad en su catálogo KEV de vulnerabilidades explotadas el 25 de junio y dio a las agencias federales de EE. UU. 3 días para corregirla. El 26 de junio PTC avisó de «actividad de amenaza elevada». La ola de correos de extorsión ha llegado un mes después.
El ransomware que no cifra (y por qué tus backups no te salvan de esto)
En el imaginario colectivo, «ransomware» significa ficheros cifrados y un contador en pantalla. Cl0p abandonó ese modelo hace años. Su especialidad es otra: encontrar una vulnerabilidad en un software de empresa expuesto a Internet, explotarla en masa contra todos los que lo tienen publicado, llevarse los datos y extorsionar con publicarlos en su portal de filtraciones. Sin cifrar nada. El historial es una lista de productos que quizá reconozcas: Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U, MOVEit Transfer, Cleo, Oracle E-Business Suite en 2025 —con víctimas declaradas como Harvard, The Washington Post, Logitech o Korean Air— y ahora Windchill y FlexPLM.
La escala de ese modelo la puso en cifras MOVEit en 2023: según el recuento de Emsisoft y KonBriefing, la campaña acabó afectando a más de 2.700 organizaciones y a los datos de más de 93 millones de personas. Una sola vulnerabilidad, en un solo producto, del que muchas de las víctimas ni recordaban que tenían una instancia publicada. El Departamento de Estado de EE. UU. ofrece 10 millones de dólares por información que vincule a Cl0p con un gobierno extranjero; el grupo, mientras tanto, sigue aplicando la misma receta.
Y aquí está el punto que nos parece importante: los backups no deshacen un robo. Un backup te devuelve el servicio cuando alguien te cifra o te borra; contra eso, la respuesta son copias inmutables bien diseñadas, y lo mantenemos. Pero cuando lo que ocurre es que tus diseños, tus contratos o los datos de tus clientes ya están en el servidor de otro, restaurar no arregla nada: la confidencialidad no se restaura. La mitad del problema del ransomware moderno no se resuelve con recuperación; se resuelve no dejando la puerta abierta.
La aplicación que nadie vigila
Fíjate en qué ataca Cl0p. Nunca es el portátil del empleado, ni el correo, ni el firewall. Es siempre la aplicación de negocio de nicho: el gestor de transferencia de ficheros, el ERP, y ahora el PLM donde vive el diseño de tus productos. Aplicaciones que se instalaron hace años, que se publicaron a Internet «porque el proveedor lo pedía» o porque un partner necesitaba acceso, y que desde entonces no son de nadie: el fabricante las considera tuyas, tu equipo de sistemas las considera del fabricante, y el plan de parcheo mensual no las incluye porque «eso lo toca la empresa de fuera una vez al año».
El resultado es que tu perímetro real no es tu firewall: es el servlet de login de una aplicación que compraste en 2018. Es la misma enfermedad que contamos hace unos días con las consolas de gestión expuestas a Internet: las cosas acaban publicadas por comodidad, la excepción temporal se vuelve permanente, y nadie la vuelve a mirar hasta que la mira un atacante. La diferencia es que aquí el premio no es el control de tu red: son directamente tus datos.
Y no hace falta ser Airbus para estar en la lista. La campaña no elige víctimas por tamaño ni por sector: escanea Internet buscando instancias publicadas y explota todas las que encuentra. Ser pequeño no te quita de la lista; te quita el equipo de respuesta que tiene el grande.
Qué haríamos esta semana
- 1.Si tienes Windchill o FlexPLM: asume compromiso, no solo parchea. Aplica el parche, busca webshells JSP recientes bajo
/Windchill/login/, revisa conexiones a las IPs publicadas como indicadores y rota las credenciales de la aplicación. Un parche no expulsa a quien ya entró. - 2.Haz el inventario de tu exposición real. Escanea tus propios rangos públicos y compara el resultado con lo que crees tener publicado. En nuestra experiencia haciendo consultoría, la lista real y la lista mental casi nunca coinciden — y la diferencia entre las dos es exactamente donde vive esta campaña.
- 3.Saca de Internet lo que no necesita estar. Un PLM, un ERP o un gestor documental que solo usan empleados y proveedores conocidos no necesita un login abierto al mundo: ponlo detrás de una VPN o de un acceso Zero Trust. Cada aplicación que quitas del escaparate es una campaña de estas que te deja de aplicar.
- 4.Usa el catálogo KEV como lista de corte. CISA dio 3 días a sus agencias para parchear esto, y no por capricho. Si algo de tu inventario expuesto aparece en el KEV, se parchea en días, no en el trimestre que toque. Y las aplicaciones «del proveedor» entran en el mismo ciclo que todo lo demás.
- 5.Vigila los servidores de aplicación, no solo los puestos. Un webshell nuevo en el directorio web de tu PLM es perfectamente detectable… si hay un EDR con alguien mirando también en esos servidores. Y ten decidido antes de que llegue el correo de extorsión quién responde, quién avisa a legal y cómo se valora la notificación: si hay datos personales, el reloj de las 72 horas del RGPD corre desde que lo sabes.
Lo que NO haríamos
- ✗Fiarlo todo a la recuperación. Backups inmutables, sí, siempre. Pero un plan anti-ransomware que solo contempla «restaurar» está diseñado para el ataque de 2019, no para el de 2026.
- ✗Consolarnos con «no somos objetivo». En una campaña de explotación masiva no existe «objetivo»: existe «expuesto» y «no expuesto». La pregunta no es si te buscarán; es si tu servidor responde cuando escaneen.
- ✗Comprar otra caja en caliente. Esta campaña no la para un producto que no tengas: la paran un inventario honesto, un ciclo de parcheo que incluya las aplicaciones incómodas y alguien mirando los servidores. Es menos brillante que un appliance nuevo, y funciona mejor.
En corto
Cl0p lleva cinco años ganando dinero con la misma jugada: la aplicación de negocio expuesta que nadie considera «seguridad». Esta vez ha tocado el PLM; la próxima será otro producto con otro nombre, y el guion será idéntico. La defensa tampoco cambia: saber qué tienes publicado, quitar lo que sobre, parchear a la velocidad del KEV y vigilar lo que quede. Nada de eso se compra en una caja — y todo se puede empezar esta semana.
Fuentes (verificadas): campaña Cl0p contra Windchill/FlexPLM, cadena de explotación, webshells, correos de extorsión, sectores y cronología — BleepingComputer (24-jul-2026) y The Hacker News (25-jul-2026); entrada en el catálogo KEV de CISA — The Hacker News (jun-2026); el plazo de 3 días para agencias federales, en BleepingComputer; cifras de MOVEit (2.700+ organizaciones, 93+ millones de personas, recuento de Emsisoft/KonBriefing) — Cybersecurity Dive.
¿Sabes qué tienes expuesto a Internet ahora mismo?
Casi nadie lo sabe con certeza — y esa incertidumbre es exactamente lo que explotan campañas como esta. En everyWAN hacemos consultoría agnóstica de fabricante: auditamos qué tienes publicado, qué sobra y cómo cerrar lo que quede, sin venderte licencias de nada. Si prefieres que además lo vigile alguien, nuestro equipo de ciberseguridad está al otro lado.
Hablar con everyWAN
Microsoft 365
ES 
CAT 
EN