Klue 供應鏈攻擊 2026 年 6 月：一個被遺忘嘅憑證點樣洩漏咗幾十間企業嘅 Salesforce 數據

一入到內部，攻擊者就推送咗惡意程式碼更新，從 Klue 嘅客戶環境偷取 Salesforce 同其他第三方整合嘅 OAuth 令牌 。佢哋攞到呢啲令牌之後，就冒充 Klue 嘅應用程式，經 Salesforce REST API 查詢已連接嘅 Salesforce CRM 環境。網絡安全公司 ReliaQuest 觀察到，攻擊者喺短短 15 分鐘內就射出咗近 1,000 次 API 查詢，總共持續咗大約 24 個鐘 。

等到 Klue 喺 6 月 13 日通知客戶嗰陣，攻擊者已經偷走咗幾百個已連接嘅 Salesforce 組織嘅令牌 。被竊嘅數據包括商業聯絡人資料、銷售線索、客戶支援個案歷史、姓名、電郵地址、電話號碼同定價資訊 。呢次攻擊係十個月內第三次 Salesforce OAuth 供應鏈攻擊，之前仲有針對 Drift (Salesloft) 同 Gainsight 嘅攻擊 。

📋 邊啲企業受影響

攻擊者利用偷返嚟嘅 OAuth 令牌，入侵咗 Klue 嘅幾百間企業客戶嘅 Salesforce 系統 。以下係已公開確認或點名提及嘅受害者：

Huntress 發表咗一篇詳細文章，形容呢次事件係「安全骨牌效應」，並指出 Icarus 後來喺佢哋嘅洩漏網站上列出咗 Huntress 嘅數據 。

🔑 攻擊係點樣發生嘅

呢次攻擊鏈直接咁利用咗一個常見嘅 SaaS 安全盲點：被遺忘嘅憑證。Klue 為咗一個從未部署嘅原型整合建立咗一個 OAuth 憑證，但之後冇喺活躍系統中移除 。2026 年 6 月 11 日，Icarus 集團發現咗呢個憑證，用它驗證咗 Klue 嘅後端，並推送咗惡意程式碼到 Klue 嘅整合層。呢段程式碼收集咗 Klue 持有嘅所有客戶整合嘅 OAuth 令牌——包括 Salesforce、HubSpot、Gong、SharePoint、Zoom 等 。有了呢啲令牌，攻擊者就可以直接查詢 Salesforce 環境，唔使任何其他憑證。

📊 數據外洩細節

攻擊者唔係悄悄噉偷數據。網絡安全公司 ReliaQuest 觀察到，攻擊者喺單一個 15 分鐘時段內射出咗近 1,000 次 API 查詢，並維持咗超過六個鐘頭嘅持續提取窗口 。總共嘅數據外洩過程大約持續咗 24 個鐘 。攻擊者使用自動化嘅 Python 腳本，查詢 Salesforce REST API 端點（例如 /services/data/v59.0/query/*）嚟大量提取記錄 。被竊嘅數據只限於 CRM 同銷售資訊，並唔涉及受影響組織嘅內部系統或憑證 。

⚡ Klue 同 Salesforce 點樣回應

• Klue 喺 6 月 12 日偵測到未經授權嘅活動，並喺 6 月 13 日開始通知客戶。公司切斷咗整合，並同受影響嘅客戶一齊更換令牌 。Klue 確認，攻擊者利用咗一個被入侵嘅舊憑證嚟獲取 OAuth 令牌，然後進入客戶嘅 Salesforce 環境 。
• Salesforce 喺 2026 年 6 月 17 日英國夏令時間晚上 7 點 22 分，冇事先通知客戶嘅情況下，喺所有受影響嘅客戶實例中停用咗 Klue Battlecards 應用程式 。Salesforce 之後呼籲所有已連接嘅 Klue 客戶輪換 OAuth 令牌，並檢查 API 審計日誌有冇未經授權嘅查詢 。

🕵️‍💻 Icarus 勒索集團同「mr bean」化名

一個新被追蹤嘅犯罪集團自稱 Icarus，並聲稱對事件負責。呢個集團大約喺 2026 年 4 月開始活躍，並喺 6 月下旬開始喺佢哋嘅洩漏網站上列出受害者 。Icarus 用「mr bean」（全小寫）呢個化名透過電郵聯絡受害者，要求佢哋俾錢，否則就公開偷返嚟嘅 Salesforce 數據 。2026 年 6 月 22 日，Icarus 開始喺佢哋專用嘅數據洩漏網站上發布 Huntress 同其他受害者嘅被盜數據 。佢哋係第一個已知使用呢個特定 Klue-OAuth-to-Salesforce 管道嘅集團，標誌住早前 ShinyHunters 領導嘅同類第三方 Salesforce 整合攻擊模式嘅轉變 。Huntress 確認，Icarus 發布嘅數據同佢哋之前報告嘅範圍一致，而且關於 Huntress 嘅檔案數量有限 。

🔍 點解呢次事件咁重要

呢次洩漏唔係單一事件。呢個係一年之內第三次重大嘅 Salesforce OAuth 供應鏈攻擊，之前仲有針對 Drift (Salesloft) 同 Gainsight 嘅攻擊 。模式係一致嘅：攻擊者針對整合中心，偷取 OAuth 令牌，然後用佢哋嚟進入 CRM 環境，而唔會觸發警報，因為啲查詢係嚟自一個受信任嘅第三方應用程式。Klue 洩漏事件亦都突顯咗 SaaS 環境中被遺棄憑證嘅危險——一個為原型而建立、從未退役嘅憑證，變成咗幾百個企業 Salesforce 組織嘅單點故障 。