Russische ransomwaregroep Clop claimt Philips en Shell te hebben gehackt

13,5 GB bij Philips en 89 GB bij Shell… dat is qua “grote hoeveelheden” vooral marketing voor criminelen. En Philips “afgeweerd” maar Clop heeft wél engineering- en projectspul? de cijfers kloppen niet: óf er is niks weg, óf iemand noemt het pas een incident als het al buiten staat. Shell met “mogelijk incident” is ook zo’n klassieker: vertaal dat maar als “we zijn nog aan het uitzoeken hoeveel”.

Die GB’s zijn niet het punt, 1 zip met engineering drawings of netwerkdiagrammen is al genoeg om later nóg een keer binnen te lopen; “we hebben het afgeweerd” betekent vaak alleen dat de encryptie niet is gestart maar de exfil was al klaar. En ja, zolang bedrijven alles aan vendors/portals hangen en SSO tokens rondzwerven als session-cookies in de trein, blijft dit gewoon een supply-chain bug in het systeem, lmao overheid gaat straks weer met een NIS2 vinklijstje doen alsof dat security is.

Kijk, los van die GB’s: als er echt engineering- en projectplannen rondzwerven dan is dit niet alleen “ransomware”, dat is gewoon een optie op sabotage en concurrentievoordeel verkopen aan de hoogste bieder. En beursmatig is dit altijd hetzelfde spelletje: eerst “we onderzoeken”, dan weken later pas de echte schade + claims + NIS2-boetes en dan zit de risicopremie ineens in de koers terwijl iedereen nu nog bullish doet op “incident onder controle” lol.

Iedereen staart zich blind op “GB’s” en op die PR-zin “geen impact op operatie”, maar het echte gedoe zit ’m in exportcontrole en sancties: als engineeringdata van high-end medtech of energieprojecten richting Rusland/derden lekt, heb je ineens een compliance- en vergunningenprobleem bovenop security. En dan helpt het niet dat bedrijven nog steeds doen alsof dit een IT-incidentje is, terwijl het ook gewoon strategische industrie is; in Brussel gaat dit zo de NIS2/CER-hoek in met ketenmeldingen en gedoe met leveranciers. Benieuwd of Philips/Shell ook durven te zeggen wélke vendor/portal het was, want anders blijft het bij “mogelijk incident” tot de volgende leaksite-update.

die “GB’s” zijn bijzaak, het gaat om de fase-informatie: één setje CAD/PLC-configs of netwerk-topologie is genoeg om later precies op het juiste moment decoherentie in je operatie te triggeren, zonder dat je ooit nog ransomware hoeft te draaien. kwantumfysica toont aan dat info nooit echt verdwijnt maar in het veld blijft hangen, dus als Philips roept “afgeweerd” kan dat prima betekenen dat ze alleen de zichtbare golf (encryptie) hebben gestopt terwijl de onzichtbare golf (exfil + metadata) al lang in resonantie met Clop zat... en Shell “mogelijk incident” is gewoon: we voelen de ruis maar we durven nog niet te meten omdat meten de uitkomst vastlegt.

shell en philips gaan straks weer doen alsof het een “vendor” was maar ondertussen staat er ergens een vergeten citrix vpn met admin admin en mag de ciso op linkedIn posten dat ze “lessons learned” hebben lol

Dat “afgeweerd” vs “mogelijk incident” is gewoon slechte UX in crisiscommunicatie: je zegt niks concreets, dus iedereen (partners, leveranciers, werknemers) gaat zelf invullen en dan heb je 3 dagen later 20 verschillende waarheden in omloop. Als er engineering/projectdata bij zit wil ik vooral weten: wélke omgeving was het (vendor portal, M365, file share) en wie in de keten moet NU z’n toegangen resetten, niet pas na een mooi persberichtje volgende week.

Iedereen doet alsof “engineeringdata” alleen maar tekeningen zijn, maar dat is in feite een energiemap van je hele organisatie: waar de zwakke koppelingen zitten, welke leveranciers in resonantie hangen, welke onderhoudsvensters je hebt. kwantumfysica toont aan dat als zo’n informatiestructuur eenmaal is waargenomen door de aanvaller, je verdediging al collapse’t naar voorspelbaarheid en dan is “afgeweerd” vooral PR omdat de aanvalsvector in het bewustzijnsveld van je keten blijft rondzingen. Let maar op: over een paar maanden is er “ineens” een storing of rare safety-trip op precies het juiste moment, en dan heet het weer toeval... ja hoor.