Klue 雙重勒贖事件：原始駭客 Icarus 刪除資料，第二個集團趁機勒索 195 家企業

2026 年 6 月 12 日，總部位於加拿大溫哥華的市場情報平台 Klue 偵測到其整合基礎設施出現異常活動。經調查，此次入侵是由新興的勒贖集團「Icarus」所為，該集團在暗網上的資料外洩網站僅有兩名前科。攻擊者利用一個遭棄用的舊整合服務帳號憑證取得 Klue 後端系統的存取權限，進而植入惡意程式碼，竊取客戶用來連接第三方平台（主要是 Salesforce）的 OAuth Token。憑藉這些 Token，Icarus 能直接對已連接的 Salesforce 組織執行大量查詢並批次下載 CRM 資料，內容涵蓋商業聯絡人、銷售機會及對話記錄等敏感資訊。

離奇轉折：Icarus 自行刪除資料，第二個集團趁機勒索

Icarus 主動刪除資料。 根據 TechCrunch 取得的一份 Klue 在 6 月 25 日發給客戶的更新信件，Klue 表示：「Icarus 告訴我們，他們正在採取措施刪除從 Klue 客戶取得的資料。Icarus 的網站仍然關閉，而且我們有跡象顯示 Icarus 確實正在刪除這些資料。」

第二個集團趁勢介入。 儘管 Icarus 看似銷毀了資料，但第二個未具名的駭客集團已取得至少部分的被竊資訊，並直接向 Klue 的客戶進行勒索。Klue 在週四的更新中表示：「Icarus 告訴我們，另一方僅持有部分客戶的資料樣本，他們正投機且詐騙性地直接向我們的一些客戶索取款項。」 這個第二集團更在其自己的勒贖網站上公布了一份據稱受害公司的名單。

195 家組織受影響

多份報導證實，約有 195 家組織的資料被竊。The Register 報導提及受害者達「數百家」，其他來源則指出有 195 家公司收到了直接的勒贖要求。已確認的受害者包括資安公司 Huntress、Recorded Future、HackerOne、Jamf、Tanium，以及 Gong、OneTrust、Snyk、Sprout Social、Insurity 等企業。

攻擊手法解析

• 入侵： 攻擊者利用一個長期未用、且已遭洩露的 API 憑證（與一個廢棄的整合服務相關）進入了 Klue 的後端系統。
• 竊取 Token： 攻擊者在系統中植入惡意程式碼，用於竊取客戶授權給 Klue、用以連接 Salesforce 及 Gong 等其他平台的 OAuth Token。
• 資料外洩： 取得 Token 後，攻擊者針對已連接的 Salesforce 組織進行自動化查詢，批次下載 CRM 資料，包含商業聯絡人、定價資訊及機會備註等。
• 供應鏈攻擊： 這起事件被歸類為透過第三方整合發動的 SaaS 供應鏈攻擊。Klue 強調，沒有證據顯示儲存在 Klue 平台本身的客戶內容受到影響。

官方應對與建議：Klue 呼籲客戶勿付款

CrowdStrike 支援。 Klue 公開證實已「委任 CrowdStrike」協助調查並驗證應對措施。該公司已採取立即行動：撤銷受影響的憑證和 Token、移除未授權程式碼、停用受影響的整合服務，並通知執法單位。

對第二勒贖集團的建議。 Klue 在 6 月 25 日的更新中，建議客戶不要向第二個未具名集團付款。取而代之，Klue 建議受影響的客戶在與任何勒贖要求交涉前，要求對方提供隨機資料樣本以證明持有資訊，並將所有相關通訊轉交給 Klue 或執法單位進行驗證。該公司強調，第二集團似乎只持有「樣本」資料，其行為具有投機與詐騙性質。

後續補救。 Klue 正在進行全面的安全控制、憑證管理、監控及部署流程審查，以實施額外的安全防護措施。