Klue-drabbade i unikt dubbelutpressningsfall – Icarus raderar data medan ny grupp kräver lösen

Den 12 juni 2026 upptäckte marknadsintelligensplattformen Klue obehörig aktivitet i sin integrationsinfrastruktur. Intrånget genomfördes av utpressningsgruppen Icarus, en ny aktör med endast två tidigare offer på sin läcksajt . Angriparna utnyttjade en komprometterad gammal inloggningsuppgift kopplad till ett integrationsservicékonto för att få åtkomst och stal därefter OAuth-tokens som kunder använde för att koppla Klue till tredjepartsplattformar, främst Salesforce . Med dessa tokens kunde Icarus hämta och massexfiltrera Salesforce CRM-data – inklusive affärskontakter, affärsmöjligheter och säljkonversationsdata – från flera kundmiljöer .

Det ovanliga: Icarus raderar data medan en andra grupp kliver in

Icarus raderar stulen data. I en kunduppdatering den 25 juni, som TechCrunch tagit del av, uppger Klue: "Icarus har berättat för oss att de vidtar åtgärder för att radera den data som tagits från Klues kunder. Icarus-sajten är fortfarande nere och vi har indikationer på att Icarus faktiskt vidtar åtgärder för att radera data som tagits från Klues kunder" .

Andra namnlösa gruppen dyker upp. Trots att Icarus verkar förstöra datan har en andra, namnlös hackergrupp fått tag på åtminstone delar av den stulna informationen och utpressar nu Klues kunder direkt . Enligt Klues uppdatering från torsdagen: "Icarus har berättat för oss att den andra parten endast har prover av data och opportunistiskt och bedrägligt söker betalning direkt från ett antal av våra kunder" . Denna andra grupp publicerade en lista med påstådda drabbade företag på sin egen utpressningssajt .

195 organisationer drabbade

Flera rapporter bekräftar att cirka 195 organisationer fått data stulen. The Register rapporterade om "hundratals" offer , och andra källor specificerar att 195 företag fått direkta utpressningskrav. Bekräftade offer inkluderar Huntress, Recorded Future, HackerOne, Jamf, Tanium, Gong, OneTrust, Snyk, Sprout Social, Insurity med flera . Det är värt att notera att LastPass inte förekommer i någon av de källbelagda offentliggörandelistorna, i motsats till vissa tidiga obekräftade påståenden.

Så fungerade attacken

• Intrång: Angriparna använde en sedan länge vilande, komprometterad API-uppgift kopplad till en nedlagd integrationstjänst för att få tillgång till Klues backend .
• Stöld av tokens: Skadlig kod planterades för att stjäla OAuth-tokens som kunder beviljat Klue för att ansluta till Salesforce och andra plattformar (inklusive Gong) .
• Dataexfiltrering: Med dessa tokens utförde angriparna automatiserade frågor mot anslutna Salesforce-organisationer och massexfiltrerade CRM-data som affärskontakter, prissättningsinformation och anteckningar om affärsmöjligheter .
• SaaS-leveranskedjekompromiss: Incidenten beskrivs som en leveranskedjeattack via tredjepartsintegrationer. Klue uppger att det inte finns några bevis för att kundinnehåll som lagrats inom själva Klue-plattformen påverkats .

Officiella råd: Klue avråder kunder från att betala

Med stöd av CrowdStrike. Klue har offentligt bekräftat att man "engagerat CrowdStrike" för att stödja utredningen och validera åtgärder . Företaget vidtog omedelbara åtgärder: återkallade påverkade uppgifter och tokens, tog bort obehörig kod, inaktiverade påverkade integrationer och underrättade brottsbekämpande myndigheter .

Råd om den andra utpressningsgruppen. I sin uppdatering den 25 juni avrådde Klue kunder från att betala den andra namnlösa gruppen. Istället rekommenderade Klue att drabbade kunder begär bevis på dataprover innan de inleder några förhandlingar om utpressning – och att vidarebefordra all sådan kommunikation direkt till Klue eller brottsbekämpande myndigheter för verifiering . Företaget betonade att den andra gruppen verkar inneha endast "prover" av data och agerar opportunistiskt och bedrägligt .

Pågående åtgärder. Klue genomför en fullständig översyn av säkerhetskontroller, hantering av autentiseringsuppgifter, övervakning och distributionsprocesser för att införa ytterligare skyddsåtgärder .