Dvojité vydírání Klue: Icarus maže ukradená data, zatímco druhá hackerská skupina vydírá 195 obětí

Neobvyklý zvrat: Icarus data maže, zatímco druhá skupina útočí

Icarus odstraňuje odcizená data. V aktualizaci pro zákazníky z 25. června, kterou přinesl TechCrunch, Klue uvedl: „Icarus nám sdělil, že podniká kroky ke smazání dat získaných od zákazníků Klue. Jejich web pro úniky je stále nedostupný a máme indicie, že Icarus skutečně podniká kroky ke smazání dat.“

Objevuje se druhá, nejmenovaná skupina. Přestože Icarus údajně data ničí, druhá, neznámá hackerská skupina získala alespoň části ukradených informací a přímo vydírá zákazníky Klue . Podle vyjádření Klue ze čtvrteční aktualizace: „Icarus nám řekl, že druhá strana má pouze vzorky dat a oportunisticky a podvodně hledá platby přímo od řady našich zákazníků.“ Tato druhá skupina zveřejnila seznam údajně zasažených společností na svém vlastním webu .

195 zasažených organizací

Podle několika zpráv bylo zasaženo přibližně 195 organizací. The Register informoval o „stovkách“ obětí , přičemž jiné zdroje uvádějí, že 195 společností obdrželo přímé výhrůžky. Mezi potvrzené oběti patří Huntress, Recorded Future, HackerOne, Jamf, Tanium, Gong, OneTrust, Snyk, Sprout Social, Insurity a další .

Jak útok probíhal

• Vstup: Útočníci použili dlouho nepoužívané, kompromitované API přihlašovací údaje spojené s opuštěnou integrační službou .
• Krádež tokenů: Do systému byl nainstalován škodlivý kód, který sbíral OAuth tokeny, které zákazníci poskytli Klue pro připojení k Salesforce a dalším platformám .
• Exfiltrace dat: S těmito tokeny útočníci prováděli automatizované dotazy na připojené Salesforce instance a hromadně stahovali CRM data, jako jsou obchodní kontakty, cenové informace a poznámky k příležitostem .
• Kompromitace dodavatelského řetězce: Incident je popisován jako útok na dodavatelský řetězec prostřednictvím integrací třetích stran. Klue prohlásil, že neexistuje žádný důkaz, že by byl zasažen obsah zákazníků uložený přímo na platformě Klue .

Oficiální doporučení Klue: Zákazníkům radí neplatit

Podpora CrowdStrike. Klue veřejně potvrdil, že „najal CrowdStrike“ na podporu vyšetřování a validaci bezpečnostních opatření . Společnost okamžitě podnikla kroky: zrušila napadené přihlašovací údaje a tokeny, odstranila neautorizovaný kód, deaktivovala napadené integrace a informovala orgány činné v trestním řízení .

Doporučení k druhé vyděračské skupině. Ve své aktualizaci z 25. června Klue zákazníkům poradil, aby druhé nejmenované skupině neplatili výkupné. Místo toho Klue doporučil zasaženým zákazníkům, aby požadovali ukázky dat (proof-of-data samples) před tím, než budou jednat o výkupném – a aby veškerou takovou komunikaci přeposílali přímo Klue nebo policii k ověření . Společnost zdůraznila, že druhá skupina má pravděpodobně pouze „vzorky“ dat a jedná oportunisticky a podvodně .

Probíhající nápravná opatření. Klue provádí kompletní revizi bezpečnostních kontrol, správy přihlašovacích údajů, monitorování a procesů nasazování, aby zavedl další bezpečnostní záruky .