Klue-Supply-Chain-Angriff Juni 2026: Ein vergessener Schlüssel öffnete Salesforce für Erpresser
Am 11. Juni 2026 nutzten Angreifer eine vergessene Anmeldeinformation aus einem nie in Betrieb genommenen Prototyp Integrationsprojekt von Klue, um bösartigen Code einzuschleusen und OAuth Tokens für Hunderte von Kund...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Am 11. Juni 2026 nutzten Angreifer eine vergessene Anmeldeinformation aus einem nie in Betrieb genommenen Prototyp Integrationsprojekt von Klue, um bösartigen Code einzuschleusen und OAuth Tokens für Hunderte von Kund...
Die gestohlenen Tokens erlaubten direkten Zugriff auf Salesforce CRM Daten über die REST API innerhalb von 24 Stunden; fast 1.000 API Abfragen pro 15 Minuten wurden registriert.
Betroffen sind unter anderem Huntress, Recorded Future, Tanium, Jamf, HackerOne, Snyk, Sprout Social, Insurity und LastPass – viele davon Cybersicherheitsfirmen.
Die neu aufgetauchte Erpresserbande Icarus kontaktierte die Opfer per E Mail unter dem Pseudonym „mr bean“ und drohte mit der Veröffentlichung der gestohlenen Daten.
Search & fact-check with cited sources for What happened in the June 2026 supply chain attack on Klue, including how attackers used a stolenIllustration of the Klue supply chain attack chain: a forgotten credential, a compromised integration, and exfiltrated Salesforce CRM data.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What happened in the June 2026 supply chain attack on Klue, including how attackers used a stolen. Article summary: Here is a comprehensive, source-cited account of the June 2026 Klue supply chain attack.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual eviden
openai.com
Am 11. Juni 2026 brachen Angreifer in Klue ein, eine in Vancouver ansässige Plattform für Wettbewerbsanalysen, die von Hunderten von Unternehmen genutzt wird, um sogenannte „Battlecards“ mit Salesforce-CRM zu synchronisieren. Der Einstiegspunkt war kein raffinierter Zero-Day-Exploit, sondern eine vergessene Anmeldeinformation aus einem nie in Betrieb genommenen Integrationsprototypen, den Klue erstellt, aber nie deaktiviert hatte . Dieser veraltete OAuth-Zugang funktionierte noch immer und erlaubte dem Angreifer, sich in Klues Integrationsinfrastruktur zu authentifizieren . Einmal im Inneren, platzierten die Angreifer schädliche Code-Updates, die OAuth-Tokens für Salesforce und andere Drittanbieter-Integrationen aus den Umgebungen der Klue-Kunden stahlen . Mit diesen Tokens gaben sie sich als Klue-App aus und fragten die verbundenen Salesforce-CRM-Umgebungen über die Salesforce-REST-API ab – mit fast 1.000 API-Aufrufen in nur 15 Minuten, verteilt über einen Zeitraum von etwa 24 Stunden . Als Klue die Kunden am 13. Juni warnte, hatten die Angreifer bereits die Tokens für Hunderte von verbundenen Salesforce-Organisationen abgegriffen . Der Vorfall ist der , nach den Angriffen auf Drift (Salesloft) und Gainsight .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Klue-Supply-Chain-Angriff Juni 2026: Ein vergessener Schlüssel öffnete Salesforce für Erpresser“?
Am 11. Juni 2026 nutzten Angreifer eine vergessene Anmeldeinformation aus einem nie in Betrieb genommenen Prototyp Integrationsprojekt von Klue, um bösartigen Code einzuschleusen und OAuth Tokens für Hunderte von Kund...
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Am 11. Juni 2026 nutzten Angreifer eine vergessene Anmeldeinformation aus einem nie in Betrieb genommenen Prototyp Integrationsprojekt von Klue, um bösartigen Code einzuschleusen und OAuth Tokens für Hunderte von Kund... Die gestohlenen Tokens erlaubten direkten Zugriff auf Salesforce CRM Daten über die REST API innerhalb von 24 Stunden; fast 1.000 API Abfragen pro 15 Minuten wurden registriert.
Was soll ich als nächstes in der Praxis tun?
Betroffen sind unter anderem Huntress, Recorded Future, Tanium, Jamf, HackerOne, Snyk, Sprout Social, Insurity und LastPass – viele davon Cybersicherheitsfirmen.
Klue-Supply-Chain-Angriff Juni 2026: Ein vergessener Schlüssel öffnete Salesforce für Erpresser
Am 11. Juni 2026 nutzten Angreifer eine vergessene Anmeldeinformation aus einem nie in Betrieb genommenen Prototyp Integrationsprojekt von Klue, um bösartigen Code einzuschleusen und OAuth Tokens für Hunderte von Kund...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Am 11. Juni 2026 nutzten Angreifer eine vergessene Anmeldeinformation aus einem nie in Betrieb genommenen Prototyp Integrationsprojekt von Klue, um bösartigen Code einzuschleusen und OAuth Tokens für Hunderte von Kund...
Die gestohlenen Tokens erlaubten direkten Zugriff auf Salesforce CRM Daten über die REST API innerhalb von 24 Stunden; fast 1.000 API Abfragen pro 15 Minuten wurden registriert.
Betroffen sind unter anderem Huntress, Recorded Future, Tanium, Jamf, HackerOne, Snyk, Sprout Social, Insurity und LastPass – viele davon Cybersicherheitsfirmen.
Die neu aufgetauchte Erpresserbande Icarus kontaktierte die Opfer per E Mail unter dem Pseudonym „mr bean“ und drohte mit der Veröffentlichung der gestohlenen Daten.
Search & fact-check with cited sources for What happened in the June 2026 supply chain attack on Klue, including how attackers used a stolenIllustration of the Klue supply chain attack chain: a forgotten credential, a compromised integration, and exfiltrated Salesforce CRM data.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What happened in the June 2026 supply chain attack on Klue, including how attackers used a stolen. Article summary: Here is a comprehensive, source-cited account of the June 2026 Klue supply chain attack.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual eviden
openai.com
Am 11. Juni 2026 brachen Angreifer in Klue ein, eine in Vancouver ansässige Plattform für Wettbewerbsanalysen, die von Hunderten von Unternehmen genutzt wird, um sogenannte „Battlecards“ mit Salesforce-CRM zu synchronisieren. Der Einstiegspunkt war kein raffinierter Zero-Day-Exploit, sondern eine vergessene Anmeldeinformation aus einem nie in Betrieb genommenen Integrationsprototypen, den Klue erstellt, aber nie deaktiviert hatte . Dieser veraltete OAuth-Zugang funktionierte noch immer und erlaubte dem Angreifer, sich in Klues Integrationsinfrastruktur zu authentifizieren . Einmal im Inneren, platzierten die Angreifer schädliche Code-Updates, die OAuth-Tokens für Salesforce und andere Drittanbieter-Integrationen aus den Umgebungen der Klue-Kunden stahlen . Mit diesen Tokens gaben sie sich als Klue-App aus und fragten die verbundenen Salesforce-CRM-Umgebungen über die Salesforce-REST-API ab – mit fast 1.000 API-Aufrufen in nur 15 Minuten, verteilt über einen Zeitraum von etwa 24 Stunden . Als Klue die Kunden am 13. Juni warnte, hatten die Angreifer bereits die Tokens für Hunderte von verbundenen Salesforce-Organisationen abgegriffen . Der Vorfall ist der , nach den Angriffen auf Drift (Salesloft) und Gainsight .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Klue-Supply-Chain-Angriff Juni 2026: Ein vergessener Schlüssel öffnete Salesforce für Erpresser“?
Am 11. Juni 2026 nutzten Angreifer eine vergessene Anmeldeinformation aus einem nie in Betrieb genommenen Prototyp Integrationsprojekt von Klue, um bösartigen Code einzuschleusen und OAuth Tokens für Hunderte von Kund...
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Am 11. Juni 2026 nutzten Angreifer eine vergessene Anmeldeinformation aus einem nie in Betrieb genommenen Prototyp Integrationsprojekt von Klue, um bösartigen Code einzuschleusen und OAuth Tokens für Hunderte von Kund... Die gestohlenen Tokens erlaubten direkten Zugriff auf Salesforce CRM Daten über die REST API innerhalb von 24 Stunden; fast 1.000 API Abfragen pro 15 Minuten wurden registriert.
Was soll ich als nächstes in der Praxis tun?
Betroffen sind unter anderem Huntress, Recorded Future, Tanium, Jamf, HackerOne, Snyk, Sprout Social, Insurity und LastPass – viele davon Cybersicherheitsfirmen.
dritte Salesforce-OAuth-Supply-Chain-Angriff innerhalb von zehn Monaten
📋 Wer war betroffen?
Die Angreifer nutzten die gestohlenen OAuth-Tokens, um auf Salesforce-Daten von Hunderten von Klue-Kunden zuzugreifen . Folgende Organisationen haben den Vorfall öffentlich bestätigt oder wurden als Opfer genannt:
Unternehmen
Status
Quelle
Huntress
Vom Unternehmen auf seinem Blog bestätigt
Recorded Future
Von beiden Unternehmen bestätigt
Tanium
Über Infosecurity Magazine bekannt gegeben
Jamf
Über Infosecurity Magazine bekannt gegeben
HackerOne
Von TechCrunch und LinkedIn genannt
Kudelski Security
In der Berichterstattung genannt
Snyk
In der Berichterstattung genannt
Insurity
In der Berichterstattung genannt
Sprout Social
In der Berichterstattung genannt
LastPass
Von TNW bestätigt; Kundendaten und Support-Fälle gestohlen
Huntress veröffentlichte einen detaillierten Beitrag und sprach von einem „Sicherheits-Dominoeffekt“. Die Gruppe Icarus veröffentlichte die Huntress-Daten später auf ihrer Leak-Seite .
🔑 Wie der Angriff ablief
Die Angriffskette war direkt und nutzte eine typische Sicherheitslücke in SaaS-Umgebungen aus: vergessene Anmeldedaten. Klue hatte einen OAuth-Zugang für einen Prototypen einer Integration erstellt, der nie in Betrieb genommen und nie aus den aktiven Systemen entfernt wurde . Am 11. Juni fand die Gruppe Icarus diese Anmeldeinformationen, authentifizierte sich an Klues Backend und spielte schädlichen Code auf Klues Integrationsschicht auf. Dieser Code sammelte alle OAuth-Tokens, die Klue für Kundenintegrationen verwaltete – Salesforce, HubSpot, Gong, SharePoint, Zoom und mehr . Mit diesen Tokens fragten die Angreifer die Salesforce-Umgebungen direkt ab, ohne weitere Anmeldedaten zu benötigen.
📊 Datendiebstahl im Detail
Die Angreifer saugten die Daten nicht leise ab. Das Sicherheitsunternehmen ReliaQuest beobachtete die Aktivität und berichtete von fast 1.000 API-Abfragen in 15 Minuten und anhaltenden Extraktionsfenstern von mehr als sechs Stunden . Die gesamte Datenexfiltration dauerte etwa 24 Stunden . Die Angreifer nutzten die Salesforce-REST-API-Endpunkte wie /services/data/v59.0/query/* und setzten automatisierte Python-Skripte ein, um Datensätze in großem Umfang zu extrahieren . Die gestohlenen Daten beschränkten sich auf CRM- und Vertriebsinformationen – keine internen Systeme oder Zugangsdaten der betroffenen Organisationen .
⚡ Reaktion von Klue und Salesforce
Klue entdeckte die unbefugte Aktivität am 12. Juni und begann am 13. Juni, Kunden zu benachrichtigen. Das Unternehmen unterbrach die Integrationen und arbeitete mit betroffenen Kunden daran, die Tokens zu rotieren . Klue bestätigte, dass die Angreifer eine kompromittierte, veraltete Anmeldeinformation nutzten, um OAuth-Tokens zu erlangen .
Salesforce deaktivierte die Klue-Battlecards-App auf allen betroffenen Kundeninstanzen am 17. Juni 2026 um 19:22 Uhr BST, ohne die Kunden vorher zu warnen . Salesforce forderte alle angeschlossenen Klue-Kunden auf, OAuth-Tokens zu rotieren und die API-Protokolle auf unbefugte Abfragen zu prüfen .
🕵️💻 Die Erpresserbande Icarus und das Pseudonym „mr bean“
Eine neu entdeckte kriminelle Gruppe namens Icarus bekannte sich zu dem Angriff. Die Gruppe ist seit etwa April 2026 aktiv und begann Ende Juni, ihre Opfer auf einer Leak-Seite zu listen . Icarus kontaktierte die Opfer per E-Mail unter dem Pseudonym „mr bean“ (Kleinbuchstaben) und forderte Zahlungen im Austausch dafür, die gestohlenen Salesforce-Daten nicht zu veröffentlichen . Am 22. Juni begann Icarus, gestohlene Daten von Huntress und anderen Opfern auf ihrer speziellen Leak-Seite zu veröffentlichen . Die Gruppe ist die erste, die diese spezifische Klue-OAuth-zu-Salesforce-Pipeline nutzt – eine Abkehr von den früheren, von ShinyHunters angeführten Angriffen auf ähnliche Drittanbieter-Salesforce-Integrationen . Huntress bestätigte, dass die von Icarus veröffentlichten Daten dem bereits gemeldeten Umfang entsprachen und die Dateien für Huntress begrenzt waren .
🔍 Warum das wichtig ist
Dieser Vorfall ist kein Einzelfall. Es ist der dritte große Salesforce-OAuth-Supply-Chain-Angriff innerhalb eines Jahres nach den Angriffen auf Drift (Salesloft) und Gainsight . Das Muster ist gleich: Angreifer zielen auf den Integrations-Hub ab, stehlen OAuth-Tokens und nutzen sie, um auf CRM-Umgebungen zuzugreifen, ohne Alarm auszulösen, da die Abfragen von einer vertrauenswürdigen Drittanbieter-App zu kommen scheinen. Der Klue-Vorfall unterstreicht auch die Gefahr von verwaisten Anmeldedaten in SaaS-Umgebungen – eine Anmeldeinformation, die für einen Prototypen erstellt und nie gelöscht wurde, wurde zum Single Point of Failure für Hunderte von Salesforce-Organisationen .
dritte Salesforce-OAuth-Supply-Chain-Angriff innerhalb von zehn Monaten
📋 Wer war betroffen?
Die Angreifer nutzten die gestohlenen OAuth-Tokens, um auf Salesforce-Daten von Hunderten von Klue-Kunden zuzugreifen . Folgende Organisationen haben den Vorfall öffentlich bestätigt oder wurden als Opfer genannt:
Unternehmen
Status
Quelle
Huntress
Vom Unternehmen auf seinem Blog bestätigt
Recorded Future
Von beiden Unternehmen bestätigt
Tanium
Über Infosecurity Magazine bekannt gegeben
Jamf
Über Infosecurity Magazine bekannt gegeben
HackerOne
Von TechCrunch und LinkedIn genannt
Kudelski Security
In der Berichterstattung genannt
Snyk
In der Berichterstattung genannt
Insurity
In der Berichterstattung genannt
Sprout Social
In der Berichterstattung genannt
LastPass
Von TNW bestätigt; Kundendaten und Support-Fälle gestohlen
Huntress veröffentlichte einen detaillierten Beitrag und sprach von einem „Sicherheits-Dominoeffekt“. Die Gruppe Icarus veröffentlichte die Huntress-Daten später auf ihrer Leak-Seite .
🔑 Wie der Angriff ablief
Die Angriffskette war direkt und nutzte eine typische Sicherheitslücke in SaaS-Umgebungen aus: vergessene Anmeldedaten. Klue hatte einen OAuth-Zugang für einen Prototypen einer Integration erstellt, der nie in Betrieb genommen und nie aus den aktiven Systemen entfernt wurde . Am 11. Juni fand die Gruppe Icarus diese Anmeldeinformationen, authentifizierte sich an Klues Backend und spielte schädlichen Code auf Klues Integrationsschicht auf. Dieser Code sammelte alle OAuth-Tokens, die Klue für Kundenintegrationen verwaltete – Salesforce, HubSpot, Gong, SharePoint, Zoom und mehr . Mit diesen Tokens fragten die Angreifer die Salesforce-Umgebungen direkt ab, ohne weitere Anmeldedaten zu benötigen.
📊 Datendiebstahl im Detail
Die Angreifer saugten die Daten nicht leise ab. Das Sicherheitsunternehmen ReliaQuest beobachtete die Aktivität und berichtete von fast 1.000 API-Abfragen in 15 Minuten und anhaltenden Extraktionsfenstern von mehr als sechs Stunden . Die gesamte Datenexfiltration dauerte etwa 24 Stunden . Die Angreifer nutzten die Salesforce-REST-API-Endpunkte wie /services/data/v59.0/query/* und setzten automatisierte Python-Skripte ein, um Datensätze in großem Umfang zu extrahieren . Die gestohlenen Daten beschränkten sich auf CRM- und Vertriebsinformationen – keine internen Systeme oder Zugangsdaten der betroffenen Organisationen .
⚡ Reaktion von Klue und Salesforce
Klue entdeckte die unbefugte Aktivität am 12. Juni und begann am 13. Juni, Kunden zu benachrichtigen. Das Unternehmen unterbrach die Integrationen und arbeitete mit betroffenen Kunden daran, die Tokens zu rotieren . Klue bestätigte, dass die Angreifer eine kompromittierte, veraltete Anmeldeinformation nutzten, um OAuth-Tokens zu erlangen .
Salesforce deaktivierte die Klue-Battlecards-App auf allen betroffenen Kundeninstanzen am 17. Juni 2026 um 19:22 Uhr BST, ohne die Kunden vorher zu warnen . Salesforce forderte alle angeschlossenen Klue-Kunden auf, OAuth-Tokens zu rotieren und die API-Protokolle auf unbefugte Abfragen zu prüfen .
🕵️💻 Die Erpresserbande Icarus und das Pseudonym „mr bean“
Eine neu entdeckte kriminelle Gruppe namens Icarus bekannte sich zu dem Angriff. Die Gruppe ist seit etwa April 2026 aktiv und begann Ende Juni, ihre Opfer auf einer Leak-Seite zu listen . Icarus kontaktierte die Opfer per E-Mail unter dem Pseudonym „mr bean“ (Kleinbuchstaben) und forderte Zahlungen im Austausch dafür, die gestohlenen Salesforce-Daten nicht zu veröffentlichen . Am 22. Juni begann Icarus, gestohlene Daten von Huntress und anderen Opfern auf ihrer speziellen Leak-Seite zu veröffentlichen . Die Gruppe ist die erste, die diese spezifische Klue-OAuth-zu-Salesforce-Pipeline nutzt – eine Abkehr von den früheren, von ShinyHunters angeführten Angriffen auf ähnliche Drittanbieter-Salesforce-Integrationen . Huntress bestätigte, dass die von Icarus veröffentlichten Daten dem bereits gemeldeten Umfang entsprachen und die Dateien für Huntress begrenzt waren .
🔍 Warum das wichtig ist
Dieser Vorfall ist kein Einzelfall. Es ist der dritte große Salesforce-OAuth-Supply-Chain-Angriff innerhalb eines Jahres nach den Angriffen auf Drift (Salesloft) und Gainsight . Das Muster ist gleich: Angreifer zielen auf den Integrations-Hub ab, stehlen OAuth-Tokens und nutzen sie, um auf CRM-Umgebungen zuzugreifen, ohne Alarm auszulösen, da die Abfragen von einer vertrauenswürdigen Drittanbieter-App zu kommen scheinen. Der Klue-Vorfall unterstreicht auch die Gefahr von verwaisten Anmeldedaten in SaaS-Umgebungen – eine Anmeldeinformation, die für einen Prototypen erstellt und nie gelöscht wurde, wurde zum Single Point of Failure für Hunderte von Salesforce-Organisationen .
innovatecybersecurity.comKlue OAuth Breach Fuels Icarus Salesforce Data Theft ...
logicity.inKlue OAuth breach spreads: 7 firms confirm Salesforce data theft
radar.offseq.comCybersecurity Firms Impacted by Klue Supply Chain Attack
huntress.comCybercrime Breaches Klue: Salesforce Data Impacted for ... - Huntress