ดับเบิลเอ็กซ์ทอร์ชันสะเทือนวงการ! Icarus ลบข้อมูลลูกค้า Klue ตามสัญญา แต่กลับมีมิจฉาชีพกลุ่มสองฉวยโอกาสเรียกค่าไถ่ซ้ำ

เมื่อวันที่ 12 มิถุนายน 2026 แพลตฟอร์ม Klue ตรวจพบกิจกรรมต้องสงสัยในโครงสร้างพื้นฐานการเชื่อมต่อระบบ ซึ่งเป็นการโจมตีโดยกลุ่ม Icarus แก๊งค์เรียกค่าไถ่หน้าใหม่ที่มีเหยื่อก่อนหน้านี้เพียง 2 รายในไซต์เผยแพร่ข้อมูล ผู้โจมตีใช้ประโยชน์จาก ข้อมูลรับรองเก่าที่ถูกบุกรุก ซึ่งเชื่อมโยงกับบัญชีบริการเพื่อเจาะระบบ จากนั้นจึงขโมย OAuth tokens ที่ลูกค้าใช้เชื่อมต่อ Klue กับแพลตฟอร์มบุคคลที่สาม โดยเฉพาะ Salesforce ด้วยโทเค็นเหล่านี้ Icarus สามารถสอบถามและดึงข้อมูล CRM ของ Salesforce—รวมถึงรายชื่อผู้ติดต่อทางธุรกิจ โอกาสทางธุรกิจ และข้อมูลการสนทนาการขาย—ออกจากสภาพแวดล้อมของลูกค้าหลายราย

จุดพลิกผัน: Icarus ลบข้อมูล แต่กลุ่มที่สองเข้ามาเรียกค่าไถ่

Icarus เริ่มลบข้อมูลที่ขโมยไป ในการอัปเดตถึงลูกค้าเมื่อวันที่ 25 มิถุนายนซึ่ง TechCrunch ตรวจสอบแล้ว Klue ระบุว่า: "Icarus แจ้งว่าพวกเขากำลังดำเนินการลบข้อมูลที่นำไปจากลูกค้า Klue เว็บไซต์ของ Icarus ยังคงปิดอยู่และเรามีหลักฐานว่า Icarus กำลังดำเนินการลบข้อมูลดังกล่าวจริง"

กลุ่มนิรนามที่สองโผล่ แม้ Icarus จะดูเหมือนกำลังทำลายข้อมูล แต่ กลุ่มแฮกเกอร์นิรนามอีกกลุ่ม ได้ครอบครองข้อมูลที่ถูกขโมยไปอย่างน้อยบางส่วน และกำลังเรียกค่าไถ่โดยตรงจากลูกค้าของ Klue จากการอัปเดตเมื่อวันพฤหัสของ Klue ระบุว่า "Icarus แจ้งว่าอีกฝ่ายมีเพียงตัวอย่างข้อมูลบางส่วนเท่านั้น และกำลังฉวยโอกาสและแอบอ้างเพื่อเรียกเงินจากลูกค้าของเราหลายราย" กลุ่มนี้ได้โพสต์รายชื่อบริษัทที่อ้างว่าได้รับผลกระทบบนเว็บไซต์เรียกค่าไถ่ของตัวเอง

195 องค์กรได้รับผลกระทบ

รายงานหลายแหล่งยืนยันว่ามีประมาณ 195 องค์กร ที่ข้อมูลถูกขโมย The Register รายงานว่าเหยื่อมีจำนวน "หลายร้อย" โดยแหล่งอื่นระบุว่า 195 บริษัทได้รับการเรียกค่าไถ่โดยตรง เหยื่อที่ได้รับการยืนยัน ได้แก่ Huntress, Recorded Future, HackerOne, Jamf, Tanium, Gong, OneTrust, Snyk, Sprout Social, Insurity และอื่นๆ อย่างไรก็ตาม LastPass ไม่ปรากฏในรายชื่อเปิดเผยใดๆ จากแหล่งที่อ้างถึง ซึ่งขัดแย้งกับข้อกล่าวหาที่ไม่ได้รับการยืนยันก่อนหน้านี้

กลไกการโจมตี

• จุดเข้า: ผู้โจมตีใช้ข้อมูลรับรอง API ที่ไม่ได้ใช้งานมานานซึ่งเชื่อมโยงกับบริการที่ถูกยกเลิก เพื่อเจาะระบบหลังบ้านของ Klue
• การเก็บเกี่ยวโทเค็น: มีการฝังโค้ดอันตรายเพื่อเก็บ OAuth tokens ที่ลูกค้าให้สิทธิ์ Klue สำหรับเชื่อมต่อ Salesforce และแพลตฟอร์มอื่นๆ (รวมถึง Gong)
• การขโมยข้อมูล: ด้วยโทเค็นเหล่านี้ ผู้โจมตีดำเนินการสอบถามอัตโนมัติไปยัง Salesforce orgs ที่เชื่อมต่อ โดยดึงข้อมูล CRM เช่น รายชื่อผู้ติดต่อทางธุรกิจ ข้อมูลราคา และบันทึกโอกาสทางธุรกิจ
• การโจมตีห่วงโซ่อุปทาน SaaS: เหตุการณ์นี้ถูกอธิบายว่าเป็นการโจมตีห่วงโซ่อุปทานผ่านการเชื่อมต่อบุคคลที่สาม Klue ยืนยันว่า ไม่มีหลักฐาน ว่าเนื้อหาของลูกค้าที่เก็บไว้ในแพลตฟอร์ม Klue เองได้รับผลกระทบ

คำแนะนำอย่างเป็นทางการ: Klue แนะนำอย่าจ่ายค่าไถ่

ได้รับการสนับสนุนจาก CrowdStrike Klue ยืนยันต่อสาธารณะว่าได้ "จ้าง CrowdStrike" เพื่อสนับสนุนการสืบสวนและตรวจสอบมาตรการตอบสนอง บริษัทดำเนินการทันทีโดยเพิกถอนข้อมูลรับรองและโทเค็นที่ได้รับผลกระทบ ลบโค้ดที่ไม่ได้รับอนุญาต ปิดการเชื่อมต่อที่ได้รับผลกระทบ และแจ้งหน่วยงานบังคับใช้กฎหมาย

คำแนะนำเกี่ยวกับกลุ่มเรียกค่าไถ่ที่สอง ในการอัปเดตเมื่อวันที่ 25 มิถุนายน Klue แนะนำลูกค้า อย่าจ่ายค่าไถ่ ให้กับกลุ่มนิรนามที่สอง แต่ให้ลูกค้าที่ได้รับผลกระทบ ขอตัวอย่างข้อมูลเพื่อเป็นหลักฐาน ก่อนที่จะติดต่อเจรจาใดๆ และส่งต่อการสื่อสารดังกล่าวให้ Klue หรือหน่วยงานบังคับใช้กฎหมายโดยตรงเพื่อตรวจสอบ บริษัทเน้นย้ำว่ากลุ่มที่สองดูเหมือนจะมีเพียง "ตัวอย่าง" ข้อมูล และกำลังดำเนินการฉวยโอกาสและหลอกลวง

การแก้ไขที่กำลังดำเนินการ Klue กำลังดำเนินการตรวจสอบมาตรการรักษาความปลอดภัย การจัดการข้อมูลรับรอง การตรวจสอบ และกระบวนการปรับใช้เพื่อเพิ่มมาตรการป้องกันเพิ่มเติม