Shell investiga roubo de 89 GB: a gangue que diz ter invadido dezenas de multinacionais por um único sistema

A Shell — a gigante de energia presente em mais de 70 países, dona de milhares de postos no Brasil — abriu investigação depois que o grupo criminoso Cl0p a listou no seu site de extorsão na dark web, afirmando ter roubado 89 GB de dados internos: desenhos de engenharia, fotografias de instalações, roadmaps de projetos e relatórios de testes.

A empresa confirmou que está apurando: “Estamos trabalhando com nossas equipes de segurança e especialistas para investigar a situação”, disse um porta-voz. Até agora, não há sinal de impacto em refinarias, perfuração ou operações de TI — e o Cl0p não publicou amostras dos arquivos.

Quem é o Cl0p — e por que o nome importa

O Cl0p não é uma gangue de ransomware comum. É o grupo que aperfeiçoou um modelo específico de crime: em vez de invadir uma empresa por vez, ele encontra uma falha inédita num software que centenas de empresas usam — e ataca todas de uma vez, na mesma semana. Foi assim no caso MOVEit em 2023, que atingiu mais de 2.700 organizações no mundo.

Na campanha atual, segundo reportagens publicadas a partir de 13 de agosto, a porta de entrada teria sido uma falha desconhecida (zero-day) no Oracle E-Business Suite — o ERP que grandes empresas usam para rodar financeiro, compras e operações. O grupo afirma ter extraído dados de cerca de 50 companhias, entre elas Philips, GE e Fiserv.

E tem um detalhe que muda o jogo: o Cl0p muitas vezes nem criptografa nada. Ele só copia os dados e cobra para não vazar. Sem tela azul, sem sistema fora do ar — a empresa pode levar semanas para perceber que foi roubada.

A ressalva que artigo sério precisa fazer

Tudo isso, por enquanto, é alegação do criminoso. A Shell não confirmou o roubo, o Cl0p não mostrou amostras, e o número de “50 empresas” vem do próprio grupo — que tem histórico de inflar listas para pressionar vítimas a pagar. Grupo de extorsão mente com frequência; é parte do modelo de negócio. A notícia aqui não é “a Shell vazou” — é a campanha em andamento e o método.

O que a sua empresa tira disso (mesmo sem ser uma Shell)

O alvo da campanha não foi “a Shell”. Foi o sistema de gestão que ela e centenas de outras usam. Isso inverte uma lógica comum: o ERP costuma ser o sistema mais protegido por burocracia — e o mais atrasado em atualização, porque “não pode parar”.

• ERP é joia da coroa, trate como tal. Ele concentra financeiro, fornecedores, folha e clientes. Uma falha nele não vaza um sistema — vaza a empresa inteira.
• Atualização de ERP não pode esperar a janela anual. A distância entre “saiu a correção” e “estão explorando” hoje se mede em dias. Janela de manutenção semestral é convite.
• Exposição à internet é decisão, não padrão. Módulos de ERP acessíveis de fora (portal de fornecedor, self-service) merecem VPN, MFA e monitoramento — não uma URL pública esquecida.
• Roubo silencioso exige detecção, não só backup. Backup resolve criptografia; não resolve cópia. Volume anormal de dados saindo é o sinal — e só vê quem monitora.
• Tenha resposta pronta para extorsão. Se seu nome aparecer num site de vazamento amanhã, quem decide o quê? Jurídico, comunicação e técnica precisam de um roteiro antes, não durante.

O caso Shell ainda vai render capítulos — extorsões assim se arrastam por semanas entre ameaça, prova de vida e negociação. Mas a lição para quem gerencia qualquer empresa já está dada: o seu risco não é só o seu sistema — é o software de prateleira que a sua empresa inteira confia sem olhar.

Fontes

• BleepingComputer — Shell investigates ‘potential incident’ after Clop data theft claims (apuração original, com declaração da Shell): bleepingcomputer.com
• The Next Web — Cl0p claims a mass hack of Shell, Philips, and dozens more (contexto da campanha via Oracle E-Business Suite): thenextweb.com