LastPass segir tölvuþrjóta hafa stolið gögnum viðskiptavina í Klue aðfangakeðjubrotinu

Árás á aðfangakeðju markaðsgreiningarvettvangsins Klue hefur komið Salesforce-gögnum í uppnám hjá vaxandi lista stofnana, þar á meðal fjölda netöryggisfyrirtækja, eftir að nýr fjárkúgunarhópur að nafni Icarus nýtti sér stolið gamalt skilríki til að safna OAuth-táknmyndum úr samþættingarinnviðum vettvangsins.

Hvernig árásin átti sér stað

Brotið hófst þann 11. júní 2026, þegar árásarmenn notuðu kompromitterað gamalt skilríki til að fá aðgang að bakendaþjónum Klue og ýta út illgjarnri kóðauppfærslu sem var hönnuð til að safna OAuth-táknmyndum sem tengjast samþættingum viðskiptavina. Klue greindi óheimila virkni þann 12. júní og afvirkjaði strax OAuth-táknmyndir fyrir alla viðskiptavini, sem slökkti á samþættingum við Salesforce ↘ 2.45%, HubSpot, SharePoint, Zoom, Gong, Google Drive og Slack.securityweek+3

Samkvæmt netöryggisfyrirtækinu ReliaQuest misnotuðu árásarmennirnir Salesforce REST API til að dæla út miklu magni af CRM-gögnum yfir 24 klukkustunda tímabil, þar á meðal "einbeittri hrinu af nærri þúsund fyrirspurnum á 15 mínútum og viðvarandi útdráttargluggum sem stóðu yfir í meira en 6 klukkustundir". Salesforce staðfesti að vandamálið væri bundið við tengingu Klue-forritsins og stafaði ekki af veikleika í Salesforce-vettvangnum sjálfum, og afvirkjaði Klue Battlecards samþættinguna þann 17. júní.Salesforce Ben+2

Fórnarlömb spanna netöryggisiðnaðinn

Listi yfir viðkomandi stofnanir hefur vaxið hratt. Huntress, Recorded Future, Tanium, Jamf, HackerOne, Kudelski Security, Snyk, Insurity og Sprout Social hafa öll greint frá því að CRM-gögn hafi verið skoðuð í gegnum kompromitteruðu samþættinguna. Jason Smith, forstjóri Klue, viðurkenndi árásina í bloggfærslu þann 20. júní og sagði að "árásarmaður hafi fengið aðgang í gegnum kompromitterað gamalt skilríki tengt samþættingarþjónustu" og notað það til að fá OAuth-táknmyndir sem tengja Klue við vettvanga þriðja aðila.theregister+1

LastPass staðfesti einnig að það hefði orðið fyrir áhrifum. Í bloggfærslu sagði fyrirtækið að tölvuþrjótar hefðu komist yfir nöfn viðskiptavina, símanúmer, netföng, heimilisföng, gögn um stuðningsmál og upplýsingar tengdar sölu úr Salesforce-umhverfi sínu. LastPass lagði áherslu á að kjarnavörur þess, innviðir og lykilorðageymslur viðskiptavina væru ekki kompromitteruð.TechCrunch+1

Nýr fjárkúgunarhópur kemur fram

Huntress rakti árásina til Icarus, fjárkúgunarhóps sem kom fram seint í apríl 2026. Hópurinn hafði samband við fórnarlömb með því að nota dulnefnið "mr bean" og beindi þeim á Session Messenger auðkenni sem tengist lekasíðu Icarus. Hópurinn hefur opinberlega hótað að birta stolin gögn ef ekki verði gengið að kröfum um lausnargjald. Klue hefur ráðið CrowdStrike ↘ 7.02% til að aðstoða við rannsókn og viðbrögð.ThreatLocker+3