כך פרצו האקרים ל-Klue וגנבו נתוני Salesforce ממאות חברות — סיפורה של פרצת אבטחה שהחלה מאישור גישה שנשכח

ב-11 ביוני 2026 פרצו תוקפים ל-Klue, פלטפורמת מודיעין שוק מקנדה המחברת נתוני תחרות (battlecards) ל-Salesforce CRM. נקודת החדירה לא הייתה פרצת אבטחה מתוחכמת, אלא אישור גישה (credential) של אב-טיפוס אינטגרציה שננטש — Klue יצרה אותו עבור מערכת ניסיונית שמעולם לא הופעלה ומעולם לא הושבתה . האישור הישן עוד עבד, ואיפשר לתוקף להתחבר לתשתיות האינטגרציה של Klue .

מרגע שנכנסו, התוקפים דחפו עדכוני קוד זדוניים שאספו אסימוני OAuth עבור Salesforce ואינטגרציות צד שלישי אחרות מסביבות הלקוחות של Klue . עם האסימונים הללו, הם התחזו לאפליקציית Klue וביצעו קריאות API ישירות ל-Salesforce — כ-1,000 קריאות בכל 15 דקות בגלים מרוכזים במשך כ-24 שעות .

עד ש-Klue התריעה ללקוחות ב-13 ביוני, התוקפים כבר גנבו אסימונים למאות סביבות Salesforce . בין הנתונים שנגנבו: אנשי קשר עסקיים, לידים מכירות, היסטוריית תמיכה, שמות, כתובות דוא"ל, מספרי טלפון ומידע על תמחור .

📋 מי נפגע

התוקפים השתמשו באסימונים הגנובים כדי לגשת לנתוני Salesforce של מאות לקוחות ארגוניים . להלן רשימת הארגונים שאישרו או שנחשפו כנפגעים:

ארגון	סטטוס	מקור
Huntress	אושר בבלוג של Huntress
Recorded Future	אושר על ידי שתי החברות
Tanium	נחשף ב-Infosecurity Magazine
Jamf	נחשף ב-Infosecurity Magazine
HackerOne	דווח על ידי TechCrunch ו-LinkedIn
Kudelski Security	דווח בפרסומי הפריצה
Snyk	דווח בפרסומי הפריצה
Insurity	דווח בפרסומי הפריצה
Sprout Social	דווח בפרסומי הפריצה
LastPass	אושר ב-TNW; מידע אישי ונתוני תמיכה נגנבו

Huntress פרסמה פוסט מפורט המכנה את האירוע "אפקט דומינו אבטחתי" .

🔑 כיצד התבצעה המתקפה

שרשרת המתקפה הייתה ישירה וניצלה עיוורון אבטחה נפוץ: אישורי גישה שנשכחו. Klue יצרה אישור OAuth עבור אב-טיפוס אינטגרציה שמעולם לא נפרס ומעולם לא הוסר מהמערכות הפעילות .

ב-11 ביוני, קבוצת Icarus מצאה אישור זה, התחברה לשרת האחורי של Klue, ודחפה קוד זדוני לשכבת האינטגרציה. קוד זה אסף כל אסימון OAuth ש-Klue החזיקה עבור אינטגרציות לקוחות: Salesforce, HubSpot, Gong, SharePoint, Zoom ועוד . עם האסימונים, התוקפים שאלו ישירות את סביבות Salesforce ללא צורך באישורים נוספים.

📊 היקף גניבת הנתונים

התוקפים לא שאבו נתונים בשקט. חברת האבטחה ReliaQuest תיעדה שבשיא ביצעו התוקפים כמעט 1,000 שאילתות API ב-15 דקות, ושמירה על חלון מיצוי רציף של יותר מ-6 שעות . משך המיצוי הכולל: כ-24 שעות . השאילתות בוצעו מול נקודות קצה Salesforce REST API כמו /services/data/v59.0/query/*, באמצעות סקריפטים אוטומטיים ב-Python .

⚡ תגובת Klue ו-Salesforce

• Klue זיהתה פעילות לא מורשית ב-12 ביוני והחלה להודיע ללקוחות ב-13 ביוני. החברה ניתקה אינטגרציות ועבדה עם לקוחות להחלפת אסימונים .
• Salesforce ניתקה את אפליקציית Klue Battlecards בכל סביבות הלקוחות המושפעות ב-17 ביוני בשעה 19:22 שעון בריטניה, ללא התראה מוקדמת . Salesforce קראה ללקוחות להחליף אסימוני OAuth ולבדוק יומני API .

🕵️‍💻 קבוצת הסחיטה Icarus והכינוי "mr bean"

קבוצת פשע חדשה בשם Icarus (הפעילה מאז אפריל 2026) לקחה אחריות . הקבוצה פנתה לקורבנות באמצעות דוא"ל תחת הכינוי "mr bean", ודרשה תשלום תמורת אי-פרסום הנתונים הגנובים . ב-22 ביוני, Icarus החלה לפרסם נתונים גנובים מ-Huntress ומקורבנות אחרים באתר ההדלפות שלה .

🔓 למה זה חשוב

פריצה זו אינה אירוע בודד. זוהי פרצת אבטחת OAuth השלישית ב-Salesforce תוך פחות משנה, לאחר התקפות קודמות על Drift (Salesloft) ו-Gainsight . הדפוס זהה: תוקפים מכוונים לרכזת האינטגרציה, גונבים אסימוני OAuth, ומשתמשים בהם כדי לגשת ל-CRM מבלי להפעיל אזעקות, מכיוון שהשאילתות מגיעות מאפליקציה מהימנה. פרצת Klue מדגישה גם את הסכנה שבאישורי גישה "יתומים" — אישור שנוצר עבור אב-טיפוס ומעולם לא בוטל הפך לנקודת כשל יחידה עבור מאות ארגונים .