Die Marktforschungsplattform Klue hat einen Sicherheitsvorfall bestätigt, bei dem Angreifer OAuth-Token erlangten, die zur Verbindung der Salesforce-Umgebungen von Kunden verwendet werden. Eine neue Ransomware-Gruppe namens Icarus hat sich zu den Angriffen bekannt.
Der Vorfall kam ans Licht, nachdem Cybersicherheitsunternehmen Huntress Und ReliaQuest veröffentlichte Analysen zeigen, wie Angreifer kompromittierte Integrationen zwischen Klue und Salesforce um Daten von mehreren Organisationen zu stehlen.
In einer diese Woche veröffentlichten Erklärung bestätigte Klue-CEO Jason Smith, dass Das Unternehmen stellte am 12. Juni unbefugte Aktivitäten fest. was Teile der Integrationsinfrastruktur des Unternehmens beeinträchtigte.
– Am 12. Juni stellten wir unbefugte Aktivitäten fest, die einen Teil unserer Integrationsinfrastruktur beeinträchtigten. Seitdem arbeiten wir mit Cybersicherheitsexperten zusammen, um die Ursachen zu ermitteln, unsere Kunden zu unterstützen und die für sie wichtigen Verbindungen wiederherzustellen., sagt Jason Smith.
Nach den Ermittlungen des Unternehmens erlangten die Angreifer Zugang durch kompromittierte, ältere Anmeldeinformationen, die mit einem Integrationsdienst verknüpft waren.
Die Angreifer konnten dann herüberkommen OAuth-Token Dies wurde genutzt, um Klue mit verschiedenen Drittanbieterplattformen, darunter Salesforce, zu verbinden. Dadurch erhielten sie die Möglichkeit, auf Informationen in den vernetzten Umgebungen mehrerer Kunden zuzugreifen.
Klue gibt an, dass es derzeit keine Hinweise darauf gibt, dass Kundendaten, die direkt auf der Klue-Plattform gespeichert sind, betroffen sind. Laut Unternehmen beschränkt sich der Vorfall auf Integrationen von Drittanbietern.
Das Unternehmen gab an, umgehend die betroffenen Zugangsdaten und Token widerrufen, unautorisierten Code entfernt, betroffene Integrationen deaktiviert, eine interne Untersuchung eingeleitet und die zuständigen Behörden kontaktiert zu haben. Klue hat zudem CrowdStrike mit der Unterstützung der laufenden Untersuchung beauftragt.
Datendiebstahl über Salesforce
Sowohl ReliaQuest als auch Huntress haben festgestellt, dass die Angreifer gestohlene OAuth-Zugangsdaten, die mit Klue-Integrationen verknüpft sind, verwendet haben, um Zugriff auf die Kundendaten zu erlangen. Salesforce-Umgebungen und umfangreiche Datendiebstähle begehen.
ReliaQuest beobachtete, wie die Angreifer OAuth-Token generierten und mithilfe von Python-Skripten über einen längeren Zeitraum API-Aufrufe an Salesforce durchführten, während sie gleichzeitig Informationen exfiltrierten.
Huntress bestätigte später, dass auch ihr eigenes Salesforce-System von dem Vorfall betroffen war. Zu den gestohlenen Informationen gehörten Geschäftskontakte, Vertriebskommunikation, Preisinformationen und andere geschäftsbezogene Daten.
Ikarus übernimmt Verantwortung
Während sowohl BleepingComputer als auch Huntress die Angriffe zuvor mit der Ransomware-Gruppe Icarus in Verbindung brachten, hat die Gruppe nun über ihre Leak-Website öffentlich die Verantwortung übernommen.
In einer Nachricht schreibt die Gruppe, dass Klue von ihrem Angriff betroffen sei und dass mehrere Salesforce-Instanzen in mit ihr verbundenen Unternehmen angegriffen wurden. Hinweis wurde exfiltriert.
Icarus fordert Klue und die betroffenen Organisationen außerdem dringend auf, über die Messaging-Plattform Session Kontakt mit der Gruppe aufzunehmen, um die Veröffentlichung der gestohlenen Informationen zu verhindern.
Frühere Berichte belegten, dass Ransomware an betroffene Unternehmen verschickt wurde. Huntress konnte die Angriffe zudem anhand von in Session verwendeten Kennungen und Informationen auf der Leak-Website der Gruppe mit Icarus in Verbindung bringen.
Weitere Unternehmen bestätigen die Auswirkungen
Seitdem der Vorfall bekannt wurde, haben mehrere Organisationen bestätigt, dass sie von den Angriffen betroffen waren, darunter: Aufgezeichnete Zukunft, Tanium, Jamf, Sprout Social, Gong Und Versicherung.
Fast alle Unternehmen geben an, dass bei dem Datenleck Daten aus ihren Salesforce-Umgebungen gestohlen wurden, ihre eigenen Plattformen, internen Systeme, Zahlungslösungen und andere Infrastrukturen jedoch nicht betroffen waren.
Mehrere Organisationen warnen nun davor, dass die gestohlenen Geschäftsdaten für zukünftige Phishing-Kampagnen, Social-Engineering-Angriffe und Erpressungsversuche missbraucht werden könnten. Kunden und Partner werden daher dringend gebeten, besonders wachsam gegenüber verdächtigen E-Mails und Kontaktversuchen zu sein.
Dieser Vorfall verdeutlicht erneut die Risiken, die entstehen können, wenn Drittanbieterintegrationen umfassenden Zugriff auf geschäftskritische Systeme erhalten. Sicherheitsexperten empfehlen Unternehmen daher, OAuth-Berechtigungen regelmäßig zu überprüfen, Zugriffsebenen einzuschränken und Integrationen mit Zugriff auf sensible Geschäftsinformationen zu überwachen.
Swedish
Danish
Norwegian
Finnish
English
German
Dutch