Zweite Hacker-Gruppe fordert Lösegeld von Klue-Opfern

Klue teilte am Mittwoch in einem Kunden-Update mit, dass Icarus die gestohlenen Daten löscht und die Website offline ist, doch laut TechCrunch behauptet nun eine zweite Gruppe, im Besitz der Daten zu sein.tech.yahoo+1
Der Einbruch, bei dem ein kompromittierter Zugangsdatensatz aus dem Jahr 2022 ausgenutzt wurde, legte Salesforce -Daten bei LastPass, HackerOne, Huntress, Recorded Future und anderen Firmen offen.techcrunch+1
Klue arbeitet mit CrowdStrike zusammen, gab die Warnung von Icarus weiter, dass die zweite Gruppe nur über Teildaten verfüge, und forderte Kunden auf, nicht zu zahlen.tech.yahoo+1

Die Marktintelligenz-Plattform Klue steckt nun in einem Szenario doppelter Erpressung, nachdem die ursprünglichen Hacker hinter dem Einbruch vom 12. Juni behaupten, gestohlene Daten zu löschen, während eine zweite kriminelle Gruppe aufgetaucht ist, die von betroffenen Kunden Lösegeld fordert.

Icarus zieht sich zurück, doch eine neue Bedrohung erscheint

In einem privaten Kunden-Update am Mittwochabend teilte Klue mit, dass man mit Icarus in Kontakt stehe, der Cyberkriminalitätsgruppe, die in die Systeme eingedrungen war und Daten von Unternehmenskunden durch die Nutzung eines kompromittierten Zugangsdatensatzes aus dem Jahr 2022 gestohlen hatte. „Icarus teilte uns mit, dass sie Schritte unternehmen, um die von Klue-Kunden entwendeten Daten zu löschen“, schrieb das Unternehmen laut TechCrunch, das die Kommunikation erhielt und mit mehreren Quellen verifizierte. Die Icarus-Website blieb am Donnerstagmorgen offline.tech.yahoo+1

Icarus informierte Klue jedoch darüber, dass eine zweite, ungenannte Hacker-Gruppe die gestohlenen Daten durch einen Fehler des Icarus-Betreibers erlangt habe. Diese zweite Gruppe hat eine Liste angeblich betroffener Unternehmen auf ihrer eigenen Website veröffentlicht und fordert Zahlungen direkt von den Opfern. „Zahlen Sie das Lösegeld, oder wir leaken alles, wenn Sie uns nicht bezahlen“, schrieb die zweite Gruppe und behauptete, insgesamt 195 Klue-Kunden seien betroffen, so TechCrunch.thenextweb

Große Firmen unter den Betroffenen

Der Einbruch, den Klue erstmals am 19. Juni bekannt gab und der auf einen Vorfall am 12. Juni zurückgeht, hat Wellen in der Cybersicherheitsbranche geschlagen. LastPass bestätigte, dass Hacker durch die Klue-Kompromittierung Kundennamen, Telefonnummern, E-Mail-Adressen, physische Adressen und Support-Fall-Daten gestohlen haben. Huntress gab bekannt, dass auf Geschäftskontakte, Preisangebote und Verkaufskommunikation aus ihrem Salesforce CRM zugegriffen wurde. Recorded Future, HackerOne, Jamf und Tanium gehören ebenfalls zu den bestätigten Opfern.techcrunch+4

Die Angreifer nutzten Klues Zugriff auf OAuth-Token – die Kundendaten in Plattformen wie Salesforce verbinden –, um Informationen herunterzuladen und zu exfiltrieren. Klue hat seitdem CrowdStrike für die Reaktion auf den Vorfall engagiert und seine Integrationen getrennt, um weiteren Zugriff zu verhindern.techcrunch+2

Klue rät Kunden von Zahlungen an die zweite Gruppe ab

Klue teilte Kunden mit, dass Icarus glaubt, die zweite Gruppe besitze nur Datensamples für eine Teilmenge der Kunden, nicht den vollständigen Datensatz. Das Unternehmen gab die Empfehlung von Icarus weiter, dass Kunden keine Zahlungen an die zweite Partei leisten sollten. Klue rät betroffenen Firmen, Nachweise über Datensamples anzufordern, bevor sie auf Erpressungsforderungen eingehen.thenextweb+1

Der Vorfall unterstreicht die kaskadierenden Risiken von Lieferketten-Einbrüchen, bei denen ein einziger kompromittierter Anbieter Dutzende nachgelagerte Organisationen gefährden kann – und bei denen gestohlene Daten zwischen kriminellen Gruppen den Besitzer wechseln können, was die Erpressungsgefahr vervielfacht.

Quellen (23)