LastPass sier at hackere stjal kundedata i Klue-forsyningskjedebrudd

Et forsyningskjedeangrep på markedsintelligensplattformen Klue har kompromittert Salesforce-data hos en voksende liste over organisasjoner, inkludert flere cybersikkerhetsselskaper, etter at en nyoppstått utpressingsgruppe kalt Icarus utnyttet en stjålet eldre legitimasjon for å høste OAuth-tokens fra plattformens integrasjonsinfrastruktur.

Hvordan angrepet utspilte seg

Bruddet begynte 11. juni 2026, da angripere brukte en kompromittert eldre legitimasjon for å få tilgang til Klues backend-servere og dytte en ondsinnet kodeoppdatering designet for å samle inn OAuth-tokens knyttet til kundeintegrasjoner. Klue identifiserte den uautoriserte aktiviteten 12. juni og deaktiverte umiddelbart OAuth-tokens for alle kunder, og deaktiverte integrasjoner med Salesforce ↘ 2.45%, HubSpot, SharePoint, Zoom, Gong, Google Drive og Slack.securityweek+3

Ifølge cybersikkerhetsselskapet ReliaQuest misbrukte angriperne Salesforce REST API for å eksfiltrere store mengder CRM-data over et 24-timers vindu, inkludert "et konsentrert utbrudd av nesten tusen spørringer på 15 minutter og vedvarende ekstraksjonsvinduer som varte over 6 timer". Salesforce bekreftet at problemet var begrenset til Klues app-tilkobling og ikke stammet fra en sårbarhet i selve Salesforce-plattformen, og deaktiverte Klue Battlecards-integrasjonen 17. juni.Salesforce Ben+2

Ofre spenner over cybersikkerhetsindustrien

Listen over berørte organisasjoner har vokst raskt. Huntress, Recorded Future, Tanium, Jamf, HackerOne, Kudelski Security, Snyk, Insurity og Sprout Social har alle avslørt at CRM-data ble tilgjengelig gjennom den kompromitterte integrasjonen. Klue-sjef Jason Smith erkjente angrepet i et blogginnlegg 20. juni, og uttalte at "en angriper fikk tilgang gjennom en kompromittert eldre legitimasjon knyttet til en integrasjonstjeneste" og brukte den til å skaffe OAuth-tokens som kobler Klue med tredjepartsplattformer.theregister+1

LastPass bekreftet også at de ble berørt. I et blogginnlegg sa selskapet at hackere fikk tilgang til kundenavn, telefonnumre, e-postadresser, fysiske adresser, support-saksdata og salgsrelatert informasjon fra Salesforce-miljøet. LastPass understreket at deres kjerneprodukter, infrastruktur og kundenes passordhvelv ikke ble kompromittert.TechCrunch+1

En ny utpressingsgruppe dukker opp

Huntress tilskrev angrepet Icarus, en utpressingsgruppe som dukket opp i slutten av april 2026. Gruppen kontaktet ofre ved å bruke aliaset "mr bean" og dirigerte dem til en Session Messenger-ID knyttet til Icarus' lekkasjenettsted. Gruppen har offentlig truet med å frigjøre stjålne data hvis løsepengekrav ikke blir møtt. Klue har engasjert CrowdStrike ↘ 7.02% for å bistå med etterforskningen og responsen.ThreatLocker+3