פריצה ל-Klue חשפה נתוני CRM ב-LastPass, HackerOne, Tanium ועוד
תוקפים גנבו אסימוני OAuth של Klue, ספקית כלי מודיעין תחרותי, ומשכו דרכם נתונים מסביבות Salesforce של לקוחותיה. עד 22 ביוני 2026 אישרו כמה חברות אבטחה שהמידע שלהן נשלף.
TL;DR בקצרה
- Klue זיהתה ב-12 ביוני 2026 פעילות לא מורשית בשירות האינטגרציה שלה, והתוקפים השיגו אסימוני OAuth של לקוחות.
- עד 22 ביוני אישרו LastPass, HackerOne, Tanium, Recorded Future וחברות נוספות שנתוני CRM שלהן נשלפו.
- LastPass מסרה שהכספות והמוצרים שלה לא נפגעו, אבל שמות, טלפונים, כתובות ופניות תמיכה נשלפו.
- קבוצת הסחיטה Icarus לקחה אחריות ואיימה לפרסם את הנתונים. לדברי Huntress, חלק מהקבצים שפורסמו הם יומני מערכת בלבד.
תוקפים פרצו ל-Klue, ספקית כלי מודיעין תחרותי, וגנבו נתוני CRM של לקוחותיה. עד 22 ביוני 2026 אישרו LastPass, HackerOne, Tanium ו-Recorded Future שתוקפים שלפו מידע מה-Salesforce שלהן. התוקפים לא פרצו אליהן ישירות. הם נכנסו דרך כלי חיצוני שחובר למערכת המכירות.
Klue: איך תוקפים הגיעו ל-Salesforce של לקוחות
Klue היא פלטפורמה שאוספת מידע על מתחרים ומסנכרנת אותו עם מערכות מכירות כמו Salesforce. כדי לעבוד, היא מחזיקה אסימוני OAuth של לקוחותיה. אסימון כזה הוא מפתח שמאפשר לכלי אחד לקרוא נתונים מכלי אחר, בלי סיסמה.
לפי המנכ״ל של Klue, ג׳ייסון סמית, החברה זיהתה ב-12 ביוני פעילות לא מורשית. תוקף השתמש בפרטי גישה ישנים של שירות האינטגרציה. בעזרתם הוא השיג את האסימונים, ואז קרא נתונים בסביבות הלקוחות.
Klue ביטלה את הפרטים והאסימונים שנחשפו. היא ניתקה אינטגרציות, דיווחה לרשויות והזמינה את CrowdStrike לחקירה. לדבריה, אין ראיות לפגיעה בתוכן ששמור בפלטפורמה עצמה.
מה גנבו התוקפים מ-LastPass ומשאר החברות
LastPass פרסמה הודעה ב-22 ביוני. לדבריה, התוקפים משכו שמות, טלפונים, כתובות מייל וכתובות מגורים של לקוחות. הם משכו גם רשומות CRM, פניות תמיכה ונתוני מכירות. LastPass מדגישה שהתוקפים לא הגיעו לכספות ולמוצרים שלה.
חברות אחרות מתארות תמונה דומה. Tanium מציינת שמות של הזדמנויות מכירה וסכומיהן, הודעות מכירה ופרטי קשר. HackerOne מדווחת על פרטי קשר ועל רשומות של חשבונות והזדמנויות. לדבריה, היא לא מחזיקה ב-CRM נתוני חולשות של לקוחות.
זאק ויטאקר מ-TechCrunch מנה חברות נוספות שאישרו גניבה: Gong, Jamf, OneTrust, Snyk, Sprout Social ו-Insurity. אף חברה לא פרסמה את מספר הלקוחות הפגועים. גם התוכן של פניות התמיכה ב-LastPass עדיין לא ידוע.
הסחיטה אחרי פריצת Klue: מה אומרת Huntress על Icarus
קבוצת פשע בשם Icarus לקחה אחריות באתר ההדלפות שלה. היא איימה לפרסם את הנתונים אם Klue לא תשלם. לפי Huntress, יש ״ביטחון גבוה״ שהקבוצה אחראית.
עובדי Huntress קיבלו מיילי סחיטה עם אולטימטום של 48 שעות. המיילים יצאו משרתי דואר של חברה קמעונאית באוסטרליה, שנראה שנפרצה. ב-22 ביוני פרסמה Icarus נתונים של Huntress ושל חברות נוספות.
Huntress מציינת שחלק מהקבצים שפורסמו מטעים. לדבריה, בחלקם יש רק יומני מערכת או תאריכים. ב-24 ביוני דיווחה Huntress גם על טענה לא מאומתת של גורם אחר. לפיה הפריצה פגעה בכמעט 200 חברות.
למה פריצה ל-Klue פוגעת בלקוחות גדולים
ההתקפה מראה בעיה מוכרת בשרשרת האספקה. אתם נותנים לכלי צד שלישי גישה ל-CRM, ומי שפורץ לכלי מקבל את אותה גישה. סיסמה חזקה והזדהות דו-שלבית של העובדים לא עוצרות אותו. האסימון עובד בלי אף אחת מהן.
TechCrunch מציינת שמתקפות המוניות דומות התחילו בעבר בנוזקה שגונבת סיסמאות ממחשב של עובד. כאן עדיין לא ידוע איך התוקפים השיגו את פרטי הגישה. לכן הלקח חל על כל כלי שמחובר ל-Salesforce, ל-Google Workspace או ל-Microsoft 365.
מה זה אומר עבורכם
- מפו את האפליקציות המחוברות: רשמו כל כלי שיש לו הרשאת OAuth ל-CRM, למייל ולאחסון. בטלו הרשאות של כלים שלא בשימוש.
- אם אתם לקוחות Klue: בקשו מהספקית לברר איזה מידע שלפו התוקפים אצלכם. בדקו ביומנים את כתובות ה-IP שפרסמה LastPass.
- הזהירו את צוות המכירות: התוקפים מחזיקים הצעות מחיר ושמות עסקאות אמיתיים. הם יכולים לנסח פישינג משכנע.
- אל תורידו את הארכיונים שדלפו: לדברי Huntress, הם עלולים להכיל נוזקה. בקשו מצוות האבטחה לבדוק אם נחשפתם.
- אל תנהלו משא ומתן עם הסוחטים: שמרו את המיילים שקיבלתם. הם יעזרו לחקירה.
- בדקו גם הרשאות ישנות: המדריך של CyberGuard לאפליקציות שמחוברות לחשבון.
מה קרה מאז
ב-1 ביולי 2026 פרסמה Klue את סיכום החקירה של CrowdStrike, שהסתיימה ב-30 ביוני. לפי הסיכום, ב-11 ביוני תוקף השתמש באסימון גישה אישי ל-GitHub, שהשיג כבר בעבר. הוא דחף קוד לשירות האינטגרציה ואסף אסימוני OAuth ל-Salesforce.
Salesforce התריעה ל-Klue ב-12 ביוני, ו-Klue פעלה באותו בוקר. CrowdStrike לא מצאה גישה למערכות מחוץ לשירות האינטגרציה. היא גם לא קבעה איך התוקף השיג את האסימון מלכתחילה.
מקורות והרחבה
- Klue Supply Chain Incident and LastPass ResponseLastPass
- Klue hack results in data breach at several cybersecurity firmsTechCrunch
- An Update on Recent Klue Security IncidentKlue
- Klue Breach InvestigationHuntress
- CrowdStrike Investigation Summary and Security ImprovementsKlue
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
