LastPass: Hacker stahlen Kundendaten bei Klue-Lieferkettenangriff

LastPass teilte mit, dass Hacker über den Klue-Lieferkettenangriff auf persönliche Kundeninformationen und Support-Fall-Daten zugegriffen haben, wobei Passwort-Tresore nicht betroffen waren.TechCrunch+1
Der Angriff, der der Erpressergruppe Icarus zugeschrieben wird, nutzte am 11. Juni ein veraltetes Zugangsdaten-Paar aus, um OAuth-Token aus der Klue-Integration mit Salesforce zu entwenden.securityweek+1
Unternehmen wie Huntress, Recorded Future, Tanium, Jamf, HackerOne und Snyk haben laut The Register ebenfalls CRM-Datendiebstähle durch denselben Vorfall gemeldet.theregister

Ein Lieferkettenangriff auf die Marktintelligenz-Plattform Klue hat Salesforce-Daten bei einer wachsenden Liste von Organisationen kompromittiert, darunter mehrere Cybersicherheitsunternehmen, nachdem eine neu aufgetauchte Erpressergruppe namens Icarus ein gestohlenes, veraltetes Zugangsdaten-Paar nutzte, um OAuth-Token aus der Integrationsinfrastruktur der Plattform zu entwenden.

Wie der Angriff ablief

Der Verstoß begann am 11. Juni 2026, als Angreifer ein kompromittiertes, veraltetes Zugangsdaten-Paar verwendeten, um Zugriff auf die Backend-Server von Klue zu erhalten und ein bösartiges Code-Update einzuspielen, das darauf ausgelegt war, OAuth-Token zu sammeln, die mit Kundenintegrationen verknüpft sind. Klue identifizierte die unbefugte Aktivität am 12. Juni und deaktivierte sofort die OAuth-Token für alle Kunden, wodurch Integrationen mit Salesforce , HubSpot, SharePoint, Zoom, Gong, Google Drive und Slack deaktiviert wurden.securityweek+3

Laut dem Cybersicherheitsunternehmen ReliaQuest missbrauchten die Angreifer die Salesforce REST API, um innerhalb eines 24-Stunden-Fensters große Mengen an CRM-Daten zu exfiltrieren, einschließlich "eines konzentrierten Ausbruchs von fast tausend Abfragen in 15 Minuten und anhaltenden Extraktionsfenstern von über 6 Stunden". Salesforce bestätigte, dass das Problem auf die App-Verbindung von Klue beschränkt war und nicht von einer Schwachstelle in der Salesforce-Plattform selbst stammte, und deaktivierte die Klue Battlecards-Integration am 17. Juni.Salesforce Ben+2

Opfer erstrecken sich über die Cybersicherheitsbranche

Die Liste der betroffenen Organisationen ist schnell gewachsen. Huntress, Recorded Future, Tanium, Jamf, HackerOne, Kudelski Security, Snyk, Insurity und Sprout Social haben alle offengelegt, dass über die kompromittierte Integration auf CRM-Daten zugegriffen wurde. Klue-CEO Jason Smith bestätigte den Angriff in einem Blogbeitrag am 20. Juni und erklärte, dass "ein Angreifer über ein kompromittiertes, veraltetes Zugangsdaten-Paar, das mit einem Integrationsdienst verbunden war, Zugriff erlangte" und es nutzte, um OAuth-Token zu erhalten, die Klue mit Drittplattformen verbinden.theregister+1

LastPass bestätigte ebenfalls, betroffen zu sein. In einem Blogbeitrag teilte das Unternehmen mit, dass Hacker auf Kundennamen, Telefonnummern, E-Mail-Adressen, physische Adressen, Support-Fall-Daten und vertriebsbezogene Informationen aus seiner Salesforce-Umgebung zugegriffen haben. LastPass betonte, dass seine Kernprodukte, seine Infrastruktur und die Passwort-Tresore der Kunden nicht kompromittiert wurden.TechCrunch+1

Eine neue Erpressergruppe taucht auf

Huntress schrieb den Angriff Icarus zu, einer Erpressergruppe, die Ende April 2026 auftauchte. Die Gruppe kontaktierte Opfer unter dem Pseudonym "mr bean" und verwies sie auf eine Session Messenger ID, die mit der Leak-Seite von Icarus verknüpft ist. Die Gruppe hat öffentlich damit gedroht, gestohlene Daten zu veröffentlichen, falls Lösegeldforderungen nicht erfüllt werden. Klue hat CrowdStrike beauftragt, bei der Untersuchung und Reaktion zu helfen.ThreatLocker+3

Quellen (15)