Double Extortion Klue: Icarus Hapus Data Curian, Muncul Kelompok Hacker Kedua yang Minta Tebusan ke 195 Perusahaan

Pada 12 Juni 2026, platform intelijen pasar Klue mendeteksi aktivitas tak wajar di infrastruktur integrasinya. Peretasan ini dilakukan oleh kelompok ekstorsi Icarus, kelompok baru yang hanya memiliki dua korban sebelumnya di situs bocoran mereka . Para peretas mengeksploitasi kredensial lama yang sudah tidak aktif (legacy credential) yang terkait dengan akun layanan integrasi untuk mendapatkan akses, lalu mengumpulkan token OAuth yang digunakan pelanggan untuk menghubungkan Klue ke platform pihak ketiga, terutama Salesforce . Dengan token tersebut, Icarus melakukan kueri dan mengeksfiltrasi data CRM Salesforce secara massal—termasuk kontak bisnis, peluang penjualan, dan data percakapan penjualan—dari banyak lingkungan pelanggan .

Twist Tak Biasa: Icarus Hapus Data, Muncul Kelompok Kedua

Icarus menghapus data curian. Dalam pembaruan kepada pelanggan pada 25 Juni yang ditinjau oleh TechCrunch, Klue menyatakan: "Icarus memberi tahu kami bahwa mereka sedang mengambil langkah-langkah untuk menghapus data yang diambil dari pelanggan Klue. Situs Icarus masih tidak aktif dan kami memiliki indikasi bahwa Icarus memang mengambil langkah-langkah untuk menghapus data dari pelanggan Klue" .

Kelompok kedua tanpa nama muncul. Meskipun Icarus tampaknya menghancurkan data, kelompok peretas lain yang tidak disebutkan namanya telah mendapatkan setidaknya sebagian dari informasi curian dan secara langsung memeras pelanggan Klue . Menurut pembaruan Klue pada hari Kamis, "Icarus memberi tahu kami bahwa pihak lain hanya memiliki sampel data dan bertindak secara oportunistik dan curang dengan mencari pembayaran langsung dari sejumlah pelanggan kami" . Kelompok kedua ini memposting daftar perusahaan yang diduga terdampak di situs ekstorsi mereka sendiri .

195 Organisasi Terdampak

Beberapa laporan mengonfirmasi bahwa sekitar 195 organisasi datanya dicuri. The Register melaporkan "ratusan" korban , dengan sumber lain menyebutkan bahwa 195 perusahaan menerima tuntutan ekstorsi langsung. Korban yang terkonfirmasi termasuk Huntress, Recorded Future, HackerOne, Jamf, Tanium, Gong, OneTrust, Snyk, Sprout Social, Insurity, dan lainnya . Perlu dicatat, LastPass tidak muncul dalam daftar pengungkapan dari sumber mana pun—berlawanan dengan klaim awal yang belum terverifikasi.

Bagaimana Serangan Terjadi

• Masuk: Peretas menggunakan kredensial API lama yang sudah tidak aktif dan telah disusupi, terkait dengan layanan integrasi yang ditinggalkan, untuk mengakses backend Klue .
• Panen token: Kode berbahaya ditanam untuk mengumpulkan token OAuth yang telah diberikan pelanggan kepada Klue untuk terhubung ke Salesforce dan platform lain (termasuk Gong) .
• Eksfiltrasi data: Dengan token tersebut, peretas melakukan kueri otomatis terhadap organisasi Salesforce yang terhubung, mengambil data CRM secara massal seperti kontak bisnis, informasi harga, dan catatan peluang .
• Kompromi rantai pasok SaaS: Insiden ini digambarkan sebagai serangan rantai pasok melalui integrasi pihak ketiga. Klue menyatakan tidak ada bukti bahwa konten pelanggan yang tersimpan di platform Klue itu sendiri terpengaruh .

Panduan Resmi: Klue Imbau Korban Jangan Membayar

Didukung CrowdStrike. Klue mengonfirmasi secara publik bahwa mereka "melibatkan CrowdStrike" untuk mendukung investigasi dan memvalidasi langkah-langkah respons . Perusahaan mengambil langkah-langkah segera: mencabut kredensial dan token yang terpengaruh, menghapus kode tidak sah, menonaktifkan integrasi yang terdampak, dan memberi tahu penegak hukum .

Imbauan soal kelompok ekstorsi kedua. Dalam pembaruan 25 Juni, Klue menyarankan pelanggan untuk tidak membayar kelompok kedua yang tidak disebutkan namanya. Sebaliknya, Klue merekomendasikan pelanggan yang terdampak untuk meminta sampel data sebagai bukti sebelum menanggapi tuntutan pemerasan—dan untuk meneruskan komunikasi semacam itu langsung ke Klue atau penegak hukum untuk verifikasi . Perusahaan menekankan bahwa kelompok kedua tampaknya hanya memiliki "sampel" data dan bertindak secara oportunistik serta curang .

Perbaikan berkelanjutan. Klue sedang melakukan tinjauan penuh terhadap kontrol keamanan, manajemen kredensial, pemantauan, dan proses penerapan untuk menerapkan perlindungan tambahan .