LastPass, hacker’ların Klue tedarik zinciri ihlalinde müşteri verilerini çaldığını açıkladı

Pazar istihbarat platformu Klue'ya yönelik bir tedarik zinciri saldırısı, Icarus adlı yeni ortaya çıkan bir gasp grubunun, platformun entegrasyon altyapısından OAuth belirteçlerini toplamak için çalınmış eski bir kimlik bilgisini kullanmasının ardından, aralarında birçok siber güvenlik şirketinin de bulunduğu giderek artan sayıda kuruluştaki Salesforce verilerini tehlikeye attı.

Saldırı Nasıl Gerçekleşti

İhlal, 11 Haziran 2026'da saldırganların Klue'nun arka uç sunucularına erişmek ve müşteri entegrasyonlarına bağlı OAuth belirteçlerini toplamak için tasarlanmış kötü amaçlı bir kod güncellemesi göndermek amacıyla ele geçirilmiş eski bir kimlik bilgisini kullanmasıyla başladı. Klue, yetkisiz etkinliği 12 Haziran'da tespit etti ve tüm müşteriler için OAuth belirteçlerini derhal devre dışı bırakarak Salesforce ↘ 2.45%, HubSpot, SharePoint, Zoom, Gong, Google Drive ve Slack ile entegrasyonları devre dışı bıraktı.securityweek+3

Siber güvenlik firması ReliaQuest'e göre saldırganlar, 24 saatlik bir süre zarfında büyük hacimli CRM verilerini dışarı sızdırmak için Salesforce REST API'sini kötüye kullandı; buna "15 dakikada yaklaşık bin sorguluk yoğun bir patlama ve 6 saati aşan sürekli veri çıkarma pencereleri" de dahil. Salesforce, sorunun Klue'nun uygulama bağlantısıyla sınırlı olduğunu ve Salesforce platformunun kendisindeki bir güvenlik açığından kaynaklanmadığını doğruladı ve 17 Haziran'da Klue Battlecards entegrasyonunu devre dışı bıraktı.Salesforce Ben+2

Kurbanlar Siber Güvenlik Sektörüne Yayılıyor

Etkilenen kuruluşların listesi hızla büyüdü. Huntress, Recorded Future, Tanium, Jamf, HackerOne, Kudelski Security, Snyk, Insurity ve Sprout Social, CRM verilerine ele geçirilmiş entegrasyon yoluyla erişildiğini açıkladı. Klue CEO'su Jason Smith, 20 Haziran'da bir blog yazısında saldırıyı kabul ederek, "bir saldırganın bir entegrasyon hizmetiyle ilişkili ele geçirilmiş eski bir kimlik bilgisi aracılığıyla erişim sağladığını" ve bunu Klue'yu üçüncü taraf platformlara bağlayan OAuth belirteçlerini elde etmek için kullandığını belirtti.theregister+1

LastPass de etkilendiğini doğruladı. Şirket bir blog yazısında, hacker'ların Salesforce ortamındaki müşteri isimlerine, telefon numaralarına, e-posta adreslerine, fiziksel adreslere, destek kaydı verilerine ve satışla ilgili bilgilere eriştiğini belirtti. LastPass, temel ürünlerinin, altyapısının ve müşteri parola kasalarının tehlikeye girmediğini vurguladı.TechCrunch+1

Yeni Bir Gasp Grubu Ortaya Çıkıyor

Huntress, saldırıyı Nisan 2026'nın sonlarında ortaya çıkan bir gasp grubu olan Icarus'a atfetti. Grup, kurbanlarla "mr bean" takma adını kullanarak iletişime geçti ve onları Icarus'un sızıntı sitesine bağlı bir Session Messenger ID'sine yönlendirdi. Grup, fidye talepleri karşılanmazsa çalınan verileri yayınlamakla alenen tehdit etti. Klue, soruşturma ve müdahale konusunda yardımcı olması için CrowdStrike ↘ 7.02% ile anlaştı.ThreatLocker+3