Утечка Klue переросла в двойное вымогательство: Icarus удаляет украденные данные, но появляется вторая группа хакеров

Необычный поворот: Icarus удаляет данные, а вторая группа вступает в игру

Icarus удаляет украденные данные. В обновлении для клиентов от 25 июня, с которым ознакомилось издание TechCrunch, Klue сообщила: «Icarus заявила, что предпринимает шаги по удалению данных, полученных от клиентов Klue. Сайт Icarus остаётся недоступным, и у нас есть признаки того, что Icarus действительно удаляет эти данные» .

Появление второй группы. Несмотря на то, что Icarus, по-видимому, уничтожает данные, вторая, неназванная хакерская группировка получила как минимум часть украденной информации и напрямую вымогает деньги у клиентов Klue . Согласно обновлению Klue от четверга, «Icarus сообщила нам, что другая сторона обладает лишь образцами данных и оппортунистически и мошеннически требует оплаты напрямую от ряда наших клиентов» . Эта вторая группа опубликовала список якобы пострадавших компаний на собственном сайте вымогателей .

195 пострадавших организаций

Различные источники подтверждают, что данные были украдены примерно у 195 организаций. Издание The Register сообщило о «сотнях» жертв , другие источники уточняют, что 195 компаний получили прямые требования о выкупе. В число подтверждённых жертв входят Huntress, Recorded Future, HackerOne, Jamf, Tanium, Gong, OneTrust, Snyk, Sprout Social, Insurity и другие . Примечательно, что LastPass не фигурирует ни в одном из опубликованных списков, вопреки ранним неподтверждённым заявлениям.

Как была организована атака

• Точка входа: Злоумышленники использовали давно неактивные, скомпрометированные учётные данные API, связанные с заброшенным интеграционным сервисом, для доступа к бэкенду Klue .
• Кража токенов: Вредоносный код был внедрён для кражи OAuth-токенов, которые клиенты предоставили Klue для подключения к Salesforce и другим платформам (включая Gong) .
• Утечка данных: С использованием этих токенов злоумышленники выполнили автоматизированные запросы к подключённым экземплярам Salesforce, массово выгрузив данные CRM: контакты компаний, ценообразование и заметки по сделкам .
• Атака на цепочку поставок SaaS: Инцидент описывается как компрометация цепочки поставок через сторонние интеграции. Klue подчёркивает, что нет никаких доказательств того, что контент клиентов, хранящийся непосредственно на платформе Klue, был затронут .

Официальные рекомендации Klue: не платить

При поддержке CrowdStrike. Klue публично подтвердила, что «привлекла CrowdStrike» для поддержки расследования и проверки мер реагирования . Компания предприняла немедленные шаги: отозвала скомпрометированные учётные данные и токены, удалила несанкционированный код, отключила затронутые интеграции и уведомила правоохранительные органы .

Рекомендации по второй группе вымогателей. В обновлении от 25 июня Klue настоятельно рекомендовала клиентам не платить второй, неназванной группировке. Вместо этого компания рекомендовала пострадавшим клиентам запрашивать образцы данных в качестве доказательства, прежде чем вступать в какие-либо переговоры, и перенаправлять все подобные сообщения в Klue или правоохранительные органы для проверки . Компания подчеркнула, что вторая группа, по-видимому, располагает лишь «образцами» данных и действует оппортунистически и мошеннически .

Текущие меры. Klue проводит полный анализ мер безопасности, управления учётными данными, мониторинга и процессов развёртывания для внедрения дополнительных средств защиты .