Klue供应链攻击：遗忘了，却未失效——一个原型凭证如何引爆Salesforce数据泄露事件

这已是十个月内第三起Salesforce OAuth供应链攻击，之前分别是针对Drift (Salesloft) 和 Gainsight 的攻击。

📋 哪些企业受影响

以下组织已公开确认或被确认为受害者：

Huntress发布了一篇详细的博文，将此事件称为"安全多米诺效应"，并指出Icarus后来在其泄密网站上列出了Huntress的数据。

🔑 攻击是如何发生的？

这次攻击的链条非常直接，且利用了SaaS安全中一个常见的盲点：被遗忘的凭证。Klue曾为一个从未部署的原型集成创建了一个OAuth凭证，但从未在生产系统中将其移除。6月11日，名为Icarus的攻击组织发现了这个凭证，用它通过了Klue后端的身份验证，然后向Klue的集成层推送了恶意代码。该代码收集了Klue持有的所有客户集成的OAuth令牌——包括Salesforce、HubSpot、Gong、SharePoint、Zoom等。有了这些令牌，攻击者无需其他任何凭证，就能直接查询Salesforce环境。

📊 数据窃取细节

攻击者的数据窃取行动并非悄无声息。安全公司ReliaQuest检测到了该活动并报告称，攻击者在短短15分钟内发起了近1000次API查询，并且保持了超过6小时的持续提取窗口。整个数据窃取过程持续了大约24小时。攻击者通过Salesforce REST API端点/services/data/v59.0/query/*，使用自动化的Python脚本批量提取记录。失窃数据仅限于CRM和销售信息，不包括受影响组织的内部系统或凭证。

⚡ Klue和Salesforce如何应对？

• Klue：在6月12日检测到未经授权的活动，并于6月13日开始通知客户。公司切断了集成，并与受影响的客户一起更新令牌。Klue确认攻击者利用了一个被入侵的旧凭证来获取OAuth令牌，从而访问客户Salesforce环境。
• Salesforce：于2026年6月17日BST时间晚上7:22，在所有受影响的客户实例中禁用了Klue Battlecards应用，且未事先通知客户。Salesforce随后敦促所有已连接的Klue客户轮换OAuth令牌，并审查API审计日志中是否存在未经授权的查询。

🕵️‍💻 Icarus勒索组织与"mr bean"化名

一个名为Icarus的新兴犯罪组织声称对此事负责。该组织自2026年4月起活跃，并于6月下旬开始在其泄密网站上列出受害者名单。Icarus通过邮箱使用化名**"mr bean"**（小写）联系受害者，要求他们支付赎金，以免被盗的Salesforce数据被公开。6月22日，Icarus开始在其专门的数据泄露网站上公布从Huntress及其他受害者处窃取的数据。这是已知首个利用Klue-OAuth-to-Salesforce这种特定链路的组织，标志着此前由ShinyHunters主导的针对类似第三方Salesforce集成的攻击模式已有所转变。Huntress证实，Icarus公布的数据与之前报告的范围一致，且与Huntress相关的文件内容有限。

🔍 为什么这件事值得关注？

这次泄露并非孤立事件。它是一年内第三起重大的Salesforce OAuth供应链攻击，此前还有针对Drift (Salesloft) 和 Gainsight 的攻击。攻击模式是相同的：攻击者瞄准集成中心，窃取OAuth令牌，然后利用这些令牌访问CRM环境，而由于查询来自受信任的第三方应用，通常不会触发警报。Klue事件也凸显了SaaS环境中孤立凭证的危险性——一个为原型创建且从未注销的凭证，竟然成为了数百个企业Salesforce组织的单一故障点。