סחיטה כפולה ב-Klue: איקרוס מוחק את הנתונים הגנובים, קבוצת האקרים שנייה דורשת כופר מ-195 קורבנות

הפריצה ל-Klue: רקע

ב-12 ביוני 2026, זיהתה Klue, פלטפורמת מודיעין שיווקי ותחרותי מובילה, פעילות לא מורשית בתשתית האינטגרציה שלה. הפריצה בוצעה על ידי קבוצת הסחיטה 'איקרוס' (Icarus), קבוצה חדשה יחסית שעד לאירוע זה היו לה רק שני קורבנות קודמים . התוקפים ניצלו פרטי כניסה ישנים שנפגעו של חשבון שירות אינטגרציה, והשתמשו בהם כדי להחדיר קוד זדוני שגנב אסימוני OAuth שבהם השתמשו הלקוחות כדי לחבר את Klue לפלטפורמות צד שלישי, בעיקר Salesforce . באמצעות אסימונים אלה, איקרוס ביצעה שאילתות אוטומטיות והוציאה כמויות עצומות של נתוני CRM מ-Salesforce של לקוחות רבים, כולל אנשי קשר עסקיים, הזדמנויות ונתוני שיחות מכירה . Salesforce ניתקה את החיבור לאפליקציית Battlecards של Klue כתגובה מיידית .

התפנית יוצאת הדופן: איקרוס מוחקת נתונים, וקבוצה שנייה נכנסת לתמונה

איקרוס מוחקת את הנתונים. בעדכון ללקוחות ב-25 ביוני, שנבדק על ידי TechCrunch, מסרה Klue: "איקרוס אמרה לנו שהיא נוקטת בצעדים כדי למחוק את הנתונים שנלקחו מלקוחות Klue. אתר ההדלפה של איקרוס נותר מושבת ויש לנו אינדיקציות לכך שאכן מתבצעים צעדים למחיקת הנתונים" .

קבוצה שנייה ולא ידועה צצה. למרות שאיקרוס נראית כמשמידה את המידע, קבוצת פריצה שנייה, שזהותה אינה ידועה, השיגה לפחות חלקים מהנתונים הגנובים ומאיימת ישירות על הלקוחות . לפי עדכון של Klue מיום חמישי: "איקרוס אמרה לנו שלצד השני יש רק דגימות של נתונים עבור תת-קבוצה של לקוחות, והוא פועל באופן אופורטוניסטי והונאתי, ודורש תשלום ישירות ממספר לקוחותינו" . קבוצה זו פרסמה רשימה של חברות שנפגעו לכאורה באתר הסחיטה שלה .

195 ארגונים נפגעו

דיווחים רבים מאשרים שכ- 195 ארגונים נפגעו, מספר שאושר גם בדיווח של The Register . הרשימה כוללת חברות אבטחת סייבר מובילות כמו Huntress, Recorded Future, HackerOne, Jamf, Tanium, Gong, OneTrust, Snyk, Sprout Social, Insurity ועוד . חשוב לציין, LastPass לא מופיעה באף רשימת גילוי רשמית מהמקורות, בניגוד לטענות לא מאומתות מוקדמות.

איך התבצעה המתקפה?

• חדירה ראשונית: התוקפים השתמשו בפרטי API ישנים שנפגעו, שהיו קשורים לשירות אינטגרציה שאינו בשימוש עוד .
• גניבת אסימונים: הוחדר קוד זדוני לאיסוף אסימוני OAuth שקיבלו Klue מלקוחות לצורך התחברות לפלטפורמות כמו Salesforce ו-Gong .
• הוצאת מידע: עם האסימונים, ביצעו התוקפים שאילתות אוטומטיות מול חשבונות Salesforce המחוברים, והוציאו כמויות גדולות של נתוני CRM .
• התקפת שרשרת אספקה של SaaS: האירוע מוגדר כמתקפת שרשרת אספקה דרך אינטגרציות צד שלישי. Klue הבהירה כי אין הוכחות לכך שתוכן הלקוחות המאוחסן בפלטפורמת Klue עצמה נפגע .

ההנחיות הרשמיות של Klue: לא לשלם לקבוצה השנייה

גיבוי של CrowdStrike. Klue אישרה כי שכרה את שירותיה של חברת אבטחת המידע CrowdStrike לתמיכה בחקירה ולאימות צעדי התגובה . החברה נקטה בצעדים מיידיים: ביטול פרטי הכניסה והאסימונים שנפגעו, הסרת הקוד הלא מורשה, השבתת האינטגרציות שנפגעו והודעה לרשויות אכיפת החוק .

המלצה לגבי קבוצת הסחיטה השנייה. בעדכון מיום 25 ביוני, קראה Klue ללקוחותיה לא לשלם לקבוצה הלא ידועה. במקום זאת, המליצה החברה ללקוחות שנפגעו לדרוש דגימות הוכחה לנתונים לפני כל מגע עם דרישות הכופר – ולהעביר כל תקשורת כזו ישירות ל-Klue או לרשויות החוק לאימות . Klue הדגישה שלקבוצה השנייה יש ככל הנראה רק "דגימות" של נתונים, והיא פועלת באופן אופורטוניסטי והונאתי .

תהליך שיקום. Klue מבצעת סקירה מלאה של בקרות האבטחה, ניהול פרטי הכניסה, ניטור ותהליכי הפריסה ליישום אמצעי הגנה נוספים .