Украденные токены и двойное вымогательство. Как взлом Klue затронул десятки ИТ- и ИБ-компаний

От­ветс­твен­ность за эту ата­ку взя­ла на себя вымога­тель­ская груп­пиров­ка Icarus, которая при­нялась шан­тажиро­вать Klue и ее кли­ентов. Одна­ко вско­ре инфраструк­туру самих вымога­телей взло­мала дру­гая хакер­ская груп­па и похити­ла у Icarus часть информа­ции. В ито­ге ком­пании‑жер­твы получи­ли тре­бова­ния о выкупе сра­зу от двух груп­пировок, и понять, у кого имен­но находят­ся пол­ные дам­пы с похищен­ными дан­ными, ока­залось невоз­можно.

Что такое Klue

Klue — канад­ская плат­форма кон­курен­тной раз­ведки, которая помога­ет ком­пани­ям ана­лизи­ровать при­чины успешных и сор­вавших­ся сде­лок. Ее исполь­зуют отде­лы про­даж и про­дук­тового мар­кетин­га: сер­вис собира­ет све­дения о кон­курен­тах, кли­ентах и ходе сде­лок, а затем фор­миру­ет battlecards — крат­кие под­сказ­ки, которые помога­ют про­дав­цам работать с воз­ражени­ями, а так­же срав­нивать про­дук­ты с пред­ложени­ями кон­курен­тов.

Klue под­клю­чает­ся к кор­поратив­ным сер­висам, где уже хра­нит­ся нуж­ная информа­ция: Salesforce, HubSpot, Gong, Slack, Google Drive, SharePoint, Zoom и дру­гим плат­формам. Дос­туп под­держи­вает­ся с помощью OAuth-токенов, поэто­му поль­зовате­лям не при­ходит­ся пос­тоян­но про­ходить аутен­тифика­цию.

Сре­ди кли­ентов Klue чис­лится мно­го тех­нологи­чес­ких B2B-ком­паний, вклю­чая ИТ- и ИБ‑вен­доров. На сай­те сер­виса ска­зано, что им поль­зуют­ся более 500 орга­низа­ций и свы­ше 200 тысяч спе­циалис­тов.

Старый доступ

Пер­вые приз­наки ата­ки были замече­ны 11–12 июня 2026 года. Ран­ние заяв­ления пред­ста­вите­лей Klue гла­сили, что зло­умыш­ленни­ки про­ник­ли в инфраструк­туру ком­пании, «ском­про­мети­ровав уста­рев­шие учет­ные дан­ные», свя­зан­ные с сер­висом интегра­ции. В ком­пании уточ­няли, что этот дос­туп был соз­дан еще в 2022 году для реали­зации неко­его пилот­ного про­екта и передан сто­рон­ней орга­низа­ции.

В ком­пании не объ­ясня­ли, для чего пред­назна­чал­ся этот про­ект, кому переда­ли дос­туп и почему он не был отоз­ван пос­ле завер­шения тес­тирова­ния. Так­же оста­лось неяс­ным, про­изош­ла ли утеч­ка на сто­роне самой Klue или неназ­ванно­го под­рядчи­ка.

Поз­же прив­лечен­ные к рас­сле­дова­нию инци­ден­та спе­циалис­ты ком­пании CrowdStrike уточ­нили, что корень проб­лемы зак­лючал­ся в ранее ском­про­мети­рован­ном пер­сональ­ном токене дос­тупа GitHub (personal access token, PAT). Экспер­там не уда­лось уста­новить, как имен­но хакеры изна­чаль­но получи­ли этот токен, но 11 июня его исполь­зовали, что­бы внед­рить пос­торон­ний код в сер­вис интегра­ции Klue.

Вре­донос­ный код собирал учет­ные дан­ные сто­рон­них интегра­ций, вклю­чая два типа OAuth-токенов Salesforce: дос­тупа (access) и обновле­ния (refresh). Такие токены фак­тичес­ки пре­дос­тавля­ли зло­умыш­ленни­кам готовый авто­ризо­ван­ный дос­туп к CRM-сре­дам кли­ентов Klue, и ата­кующим не пот­ребова­лось похищать пароли, обхо­дить двух­фактор­ную аутен­тифика­цию или экс­плу­ати­ровать уяз­вимос­ти в Salesforce.