ابتزاز مزدوج ضد Klue: مجموعة Icarus تحذف البيانات المسروقة بينما تظهر مجموعة قراصنة ثانية تطالب 195 ضحية بفدية

في 12 يونيو 2026، رصدت منصة Klue لذكاء السوق نشاطًا غير مصرح به في بنيتها التحتية للتكامل. تم تنفيذ الاختراق من قبل مجموعة الابتزاز Icarus، وهي مجموعة جديدة لم يسبق لها سوى ضحيتين فقط على موقع تسريباتها . استغل المهاجمون بيانات اعتماد قديمة مخترقة مرتبطة بحساب خدمة تكامل للوصول، ثم جمعوا رموز OAuth التي يستخدمها العملاء لربط Klue بمنصات طرف ثالث، وفي مقدمتها Salesforce . باستخدام هذه الرموز، قامت Icarus بالاستعلام وسحب كميات كبيرة من بيانات CRM الخاصة بـ Salesforce - بما في ذلك جهات الاتصال التجارية والفرص وبيانات محادثات المبيعات - من بيئات عملاء متعددة .

المنعطف غير المعتاد: Icarus تحذف البيانات بينما تتدخل مجموعة ثانية

Icarus تحذف البيانات المسروقة. في تحديث للعملاء بتاريخ 25 يونيو، اطلعت عليه TechCrunch، صرحت Klue: "أخبرتنا Icarus أنها تتخذ خطوات لحذف البيانات التي أخذتها من عملاء Klue. موقع Icarus لا يزال معطلاً ولدينا مؤشرات على أن Icarus تتخذ بالفعل خطوات لحذف البيانات المأخوذة من عملاء Klue" .

ظهور مجموعة ثانية مجهولة. على الرغم من أن Icarus تبدو وكأنها تدمر البيانات، فقد حصلت مجموعة اختراق ثانية غير مسماة على أجزاء من المعلومات المسروقة على الأقل وتبتز عملاء Klue مباشرة . وفقًا لتحديث Klue يوم الخميس، "أخبرتنا Icarus أن الطرف الآخر لديه عينات فقط من البيانات ويتصرف بشكل انتهازي واحتيالي، مطالبًا بالدفع مباشرة من عدد من عملائنا" . نشرت هذه المجموعة الثانية قائمة بالشركات التي يُزعم تضررها على موقع ابتزاز خاص بها .

195 منظمة متضررة

تؤكد تقارير متعددة أن حوالي 195 منظمة قد سُرقت بياناتها. ذكرت The Register وقوع "مئات" الضحايا ، بينما حددت مصادر أخرى أن 195 شركة تلقت مطالب ابتزاز مباشرة. تشمل الضحايا المؤكدين Huntress، Recorded Future، HackerOne، Jamf، Tanium، Gong، OneTrust، Snyk، Sprout Social، Insurity وغيرها . يُذكر أن LastPass لم تكن مدرجة في أي من قوائم الإفصاح المذكورة في المصادر، خلافًا لبعض الادعاءات غير المؤكدة المبكرة.

آلية الهجوم

• الدخول: استخدم المهاجمون بيانات اعتماد API قديمة وخاملة مرتبطة بخدمة تكامل مهجورة للوصول إلى النظام الخلفي لـ Klue .
• جمع الرموز: تم زرع كود ضار لجمع رموز OAuth التي منحها العملاء لـ Klue للاتصال بـ Salesforce ومنصات أخرى (بما في ذلك Gong) .
• سحب البيانات: باستخدام هذه الرموز، نفذ المهاجمون استعلامات آلية ضد منظمات Salesforce المتصلة، وسحبوا كميات كبيرة من بيانات CRM مثل جهات الاتصال التجارية ومعلومات التسعير وملاحظات الفرص .
• اختراق سلسلة التوريد SaaS: يُوصف الحادث بأنه هجوم على سلسلة التوريد عبر تكاملات الطرف الثالث. صرحت Klue بعدم وجود أي دليل على تأثر محتوى العملاء المخزن داخل منصة Klue نفسها .

التوجيه الرسمي: Klue تنصح العملاء بعدم الدفع

بدعم من CrowdStrike. أكدت Klue علنًا أنها "استعانت بـ CrowdStrike" لدعم التحقيق والتحقق من إجراءات الاستجابة . اتخذت الشركة إجراءات فورية: إلغاء بيانات الاعتماد والرموز المتأثرة، إزالة الكود غير المصرح به، تعطيل التكاملات المتأثرة، وإخطار السلطات .

توصية بشأن مجموعة الابتزاز الثانية. في تحديثها ليوم 25 يونيو، نصحت Klue العملاء بعدم الدفع للمجموعة الثانية غير المسماة. بدلاً من ذلك، أوصت Klue العملاء المتضررين بطلب عينات من البيانات كدليل قبل التعامل مع أي مطالب ابتزاز - وإرسال أي اتصالات من هذا القبيل مباشرة إلى Klue أو السلطات للتحقق . شددت الشركة على أن المجموعة الثانية تمتلك على ما يبدو "عينات" فقط من البيانات وتتصرف بشكل انتهازي واحتيالي .

المعالجة الجارية. تجري Klue مراجعة كاملة لضوابط الأمان وإدارة بيانات الاعتماد والمراقبة وعمليات النشر لتنفيذ ضمانات إضافية .