Η LastPass αναφέρει ότι χάκερ έκλεψαν δεδομένα πελατών μέσω της παραβίασης της εφοδιαστικής αλυσίδας της Klue

Μια επίθεση στην εφοδιαστική αλυσίδα της πλατφόρμας επιχειρηματικής ευφυΐας Klue έχει θέσει σε κίνδυνο δεδομένα του Salesforce σε μια αυξανόμενη λίστα οργανισμών, συμπεριλαμβανομένων πολλών εταιρειών κυβερνοασφάλειας, αφού μια νεοεμφανιζόμενη ομάδα εκβιαστών που ονομάζεται Icarus εκμεταλλεύτηκε ένα κλεμμένο παλαιό διαπιστευτήριο για να συλλέξει διακριτικά OAuth από την υποδομή διασύνδεσης της πλατφόρμας.

Πώς εξελίχθηκε η επίθεση

Η παραβίαση ξεκίνησε στις 11 Ιουνίου 2026, όταν οι επιτιθέμενοι χρησιμοποίησαν ένα παραβιασμένο παλαιό διαπιστευτήριο για να αποκτήσουν πρόσβαση στους διακομιστές υποστήριξης της Klue και να προωθήσουν μια κακόβουλη ενημέρωση κώδικα που είχε σχεδιαστεί για τη συλλογή διακριτικών OAuth που συνδέονται με τις διασυνδέσεις των πελατών. Η Klue εντόπισε τη μη εξουσιοδοτημένη δραστηριότητα στις 12 Ιουνίου και απενεργοποίησε αμέσως τα διακριτικά OAuth για όλους τους πελάτες, απενεργοποιώντας τις διασυνδέσεις με το Salesforce ↘ 0.14%, το HubSpot, το SharePoint, το Zoom, το Gong, το Google Drive και το Slack.securityweek+3

Σύμφωνα με την εταιρεία κυβερνοασφάλειας ReliaQuest, οι επιτιθέμενοι έκαναν κατάχρηση του REST API του Salesforce για να εξάγουν μεγάλους όγκους δεδομένων CRM μέσα σε ένα παράθυρο 24 ωρών, συμπεριλαμβανομένης "μιας συγκεντρωμένης έκρηξης σχεδόν χιλίων ερωτημάτων σε 15 λεπτά και παρατεταμένων παραθύρων εξαγωγής που διήρκεσαν πάνω από 6 ώρες". Το Salesforce επιβεβαίωσε ότι το ζήτημα περιορίστηκε στη σύνδεση της εφαρμογής της Klue και δεν προήλθε από ευπάθεια στην ίδια την πλατφόρμα του Salesforce, ενώ απενεργοποίησε τη διασύνδεση Klue Battlecards στις 17 Ιουνίου.Salesforce Ben+2

Τα θύματα εκτείνονται σε ολόκληρο τον κλάδο της κυβερνοασφάλειας

Η λίστα των επηρεαζόμενων οργανισμών έχει αυξηθεί ραγδαία. Οι Huntress, Recorded Future, Tanium, Jamf, HackerOne, Kudelski Security, Snyk, Insurity και Sprout Social έχουν αποκαλύψει ότι αποκτήθηκαν δεδομένα CRM μέσω της παραβιασμένης διασύνδεσης. Ο διευθύνων σύμβουλος της Klue, Jason Smith, αναγνώρισε την επίθεση σε ανάρτηση στο ιστολόγιο στις 20 Ιουνίου, δηλώνοντας ότι "ένας επιτιθέμενος απέκτησε πρόσβαση μέσω ενός παραβιασμένου παλαιού διαπιστευτηρίου που σχετίζεται με μια υπηρεσία διασύνδεσης" και το χρησιμοποίησε για να αποκτήσει διακριτικά OAuth που συνδέουν την Klue με πλατφόρμες τρίτων.theregister+1

Η LastPass επιβεβαίωσε επίσης ότι επηρεάστηκε. Σε ανάρτηση στο ιστολόγιο, η εταιρεία ανέφερε ότι χάκερ απέκτησαν πρόσβαση σε ονόματα πελατών, αριθμούς τηλεφώνων, διευθύνσεις ηλεκτρονικού ταχυδρομείου, φυσικές διευθύνσεις, δεδομένα υποθέσεων υποστήριξης και πληροφορίες σχετικά με τις πωλήσεις από το περιβάλλον του Salesforce. Η LastPass τόνισε ότι τα βασικά προϊόντα, η υποδομή και τα θησαυροφυλάκια κωδικών πρόσβασης των πελατών της δεν παραβιάστηκαν.TechCrunch+1

Εμφανίζεται μια νέα ομάδα εκβιαστών

Η Huntress απέδωσε την επίθεση στην Icarus, μια ομάδα εκβιαστών που εμφανίστηκε στα τέλη Απριλίου 2026. Η ομάδα επικοινώνησε με τα θύματα χρησιμοποιώντας το ψευδώνυμο "mr bean" και τα κατεύθυνε σε ένα Session Messenger ID που συνδέεται με τον ιστότοπο διαρροών της Icarus. Η ομάδα έχει απειλήσει δημόσια να δημοσιεύσει κλεμμένα δεδομένα εάν δεν ικανοποιηθούν τα αιτήματα για λύτρα. Η Klue έχει προσλάβει την CrowdStrike ↗ 1.57% για να βοηθήσει στην έρευνα και την απόκρισή της.ThreatLocker+3