Klue ihlali: çalınan OAuth token'larıyla müşterilerin Salesforce verilerine erişildi

Satış ekiplerine rekabet istihbaratı sunan SaaS platformu Klue, müşterilerini Salesforce gibi sistemlere bağlayan OAuth token'larının çalındığı bir ihlal yaşadı. Olay, üçüncü taraf entegrasyonlarının SaaS veri hırsızlığında nasıl bir köprüye dönüştüğünü bir kez daha gösterdi.

Nasıl başladı?

Klue CEO'su Jason Smith'e göre saldırgan, bir entegrasyon servisiyle ilişkili eski bir kimlik bilgisini kullanarak içeri girdi. Huntress'in aktardığına göre bu kimlik bilgisi, Klue'nun bir üçüncü taraf entegrasyonunu denemek için oluşturduğu, proje bırakıldıktan sonra da devre dışı bırakılmayan bir hesaba aitti.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Saldırgan ardından Klue'nun entegrasyon sistemine, müşterilerin OAuth token'larını toplamak üzere tasarlanmış bir kod değişikliği gönderdi. ReliaQuest'e göre ele geçirilen token'larla müşterilerin entegrasyon servis hesaplarında oturum açıldı ve yaklaşık 24 saat boyunca otomatik Python betikleriyle Salesforce REST API'si sorgulandı.

Kimler etkilendi?

Klue ihlali 12 Haziran'da tespit etti, 13 Haziran'da müşterilerine genel bir uyarı gönderdi ve Salesforce, HubSpot, SharePoint, Zoom, Gong, Slack ve Google Drive dahil dokuz platformla entegrasyonlarını kapattı. Güvenlik şirketleri Huntress ve Recorded Future, kendi Salesforce ortamlarının etkilendiğini kamuoyuyla paylaştı. Huntress; iş bağlantıları, fiyat teklifleri ve satış yazışmalarının alındığını, parola veya ödeme kartı verisinin etkilenmediğini belirtti.

Salesforce, Klue Battlecards entegrasyonunu devre dışı bıraktı ve sorunun Salesforce platformundaki bir açıktan kaynaklanmadığını, Klue'nun uygulama bağlantısıyla sınırlı olduğunu vurguladı. Huntress saldırıyı, 19 Haziran'da Klue'yu sızıntı sitesine ekleyen Icarus adlı yeni bir şantaj grubuna bağladı. Olay 2025'teki Salesloft Drift ve Gainsight kampanyalarına benzese de bunlarla doğrudan ilişkilendirilmesi için yeterli kanıt bulunmuyor.

Ne yapılmalı?

• Klue entegrasyonuna bağlı tüm OAuth ve refresh token'ları iptal edilip yenilenmeli.
• Salesforce API kayıtlarında olağandışı sorgu hacimleri incelenmeli.
• Üçüncü taraf entegrasyon hesapları bilinen IP aralıklarıyla sınırlandırılmalı ve en az yetki ilkesine göre kapsamlandırılmalı.
• OAuth erişimi olan tüm bağlı uygulamalar envanterlenmeli; kullanılmayanlar kaldırılmalı.
• Şirket içinde de terk edilmiş test entegrasyonları ve servis hesapları düzenli olarak temizlenmeli.