LastPass säger att hackare stal kunddata i Klue-leveranskedjeintrång

En leveranskedjeattack mot marknadsintelligensplattformen Klue har komprometterat Salesforce-data hos en växande lista av organisationer, inklusive flera cybersäkerhetsföretag, efter att en nyligen framväxande utpressningsgrupp vid namn Icarus utnyttjat en stulen äldre inloggningsuppgift för att skörda OAuth-tokens från plattformens integrationsinfrastruktur.

Hur attacken utspelade sig

Intrånget började den 11 juni 2026, när angripare använde en komprometterad äldre inloggningsuppgift för att få tillgång till Klues backend-servrar och skicka ut en skadlig koduppdatering utformad för att samla in OAuth-tokens kopplade till kundintegrationer. Klue identifierade den obehöriga aktiviteten den 12 juni och avaktiverade omedelbart OAuth-tokens för alla kunder, vilket inaktiverade integrationer med Salesforce ↘ 2.45%, HubSpot, SharePoint, Zoom, Gong, Google Drive och Slack.securityweek+3

Enligt cybersäkerhetsföretaget ReliaQuest missbrukade angriparna Salesforce REST API för att exfiltrera stora volymer CRM-data under ett 24-timmarsfönster, inklusive "en koncentrerad skur av nästan tusen frågor på 15 minuter och ihållande extraktionsfönster som varade över 6 timmar". Salesforce bekräftade att problemet var begränsat till Klues app-anslutning och inte härrörde från en sårbarhet i själva Salesforce-plattformen, och avaktiverade Klue Battlecards-integrationen den 17 juni.Salesforce Ben+2

Offer inom cybersäkerhetsbranschen

Listan över drabbade organisationer har vuxit snabbt. Huntress, Recorded Future, Tanium, Jamf, HackerOne, Kudelski Security, Snyk, Insurity och Sprout Social har alla avslöjat att CRM-data kom åt genom den komprometterade integrationen. Klues VD Jason Smith erkände attacken i ett blogginlägg den 20 juni och uppgav att "en angripare fick tillgång genom en komprometterad äldre inloggningsuppgift kopplad till en integrationstjänst" och använde den för att erhålla OAuth-tokens som kopplar Klue med tredjepartsplattformar.theregister+1

LastPass bekräftade också att de var drabbade. I ett blogginlägg sa företaget att hackare kom åt kundnamn, telefonnummer, e-postadresser, fysiska adresser, supportärendedata och försäljningsrelaterad information från dess Salesforce-miljö. LastPass betonade att dess kärnprodukter, infrastruktur och kunders lösenordsvalv inte komprometterades.TechCrunch+1

En ny utpressningsgrupp dyker upp

Huntress tillskrev attacken Icarus, en utpressningsgrupp som dök upp i slutet av april 2026. Gruppen kontaktade offer med aliaset "mr bean" och dirigerade dem till ett Session Messenger-ID kopplat till Icarus läckagesida. Gruppen har offentligt hotat att släppa stulen data om krav på lösensumma inte uppfylls. Klue har anlitat CrowdStrike ↘ 7.02% för att bistå med utredningen och responsen.ThreatLocker+3