El robo de datos de Salesforce continúa a través del compromiso de la aplicación Klue

Instancias adicionales de Salesforce fueron atacadas por actores de amenazas que abusaron de la integración de una aplicación de terceros, esta vez a través de la aplicación Battlecards de Klue.

Los ataques que son los últimos una serie de violaciones contra clientes de Salesforce, salió a la luz el 17 de junio cuando el proveedor de CRM anunció que había suspendido la integración con Battlecards en respuesta a un incidente de seguridad.

«Salesforce tomó esta acción porque nuestros equipos de seguridad identificaron recientemente una actividad inusual relacionada con la aplicación que puede haber resultado en un acceso no autorizado a una parte de los datos del cliente a través de la conexión de la aplicación a Salesforce», dijo la compañía. una advertencia. «Este problema se limita a la conexión de la aplicación Klue y no es causado por una vulnerabilidad dentro de la plataforma Salesforce».

En una publicación de blog de ayer, ReliaQuest confirmado que los actores de amenazas obtuvieron acceso a instancias de Salesforce utilizando tokens Klue OAuth y exfiltraron datos de clientes. Los investigadores de ReliaQuest también observaron un patrón similar ataques anteriores incluidas integraciones de aplicaciones de terceros.

Relacionado:INC Ransomware se esfuerza por dominar los conceptos básicos

«La actividad sigue el mismo manual de estrategias de abuso de OAuth de terceros que Salesloft Drift y Compromisos de ganancia «Esto ha sacudido los ecosistemas de Salesforce en 2025 y 2026, reforzando que las integraciones confiables de software como servicio (SaaS) siguen siendo una forma de alto valor, pero poco monitoreada, de acceder a datos confidenciales», decía la publicación del blog ReliaQuest.

Las recientes infracciones de Salesforce se derivan del compromiso de Klue

En los ataques observados por ReliaQuest, los actores de amenazas se autenticaron y generaron utilizando una cuenta de servicio de integración Klue comprometida. tokens de OAuth Esto les dio acceso a las instancias integradas de Salesforce de los clientes. Luego, los ataques automatizaron scripts de Python para filtrar datos a través de la API REST de Salesforce en aproximadamente 24 horas.

Según los investigadores de ReliaQuest, los ataques incluyeron “una liberación concentrada de casi mil consultas en 15 minutos” contra al menos un entorno y dieron como resultado una exfiltración sostenida que duró más de seis horas. «Si bien la primera etapa fue un movimiento lento y constante diseñado para mezclarse, esta explosión intercambió sigilo por velocidad, lo que sugiere presión de tiempo o un cambio hacia grabaciones específicas», escribieron los investigadores.

Un portavoz de ReliaQuest le dijo a Dark Reading que la ventana de 24 horas era más consistente con una operación de extracción masiva que con un ataque interrumpido. «El atacante aparentemente contó los datos disponibles, extrajo los que eran accesibles y luego siguió adelante una vez que los tuvo», dijo el portavoz. «También es posible que el atacante haya configurado herramientas y extraído datos de otros objetivos en la misma ventana».

Relacionado:El atraco de recolección de credenciales a gran escala compromete más de 30.000 dispositivos Fortinet

No está claro cuántos clientes de Salesforce se vieron afectados por los ataques recientes, pero al menos una empresa anunció que sus datos de Salesforce estaban comprometidos. En una publicación de blog de hoy, los proveedores de ciberseguridad Huntress dijo que los atacantes copiaron datos. Esto incluye «contactos comerciales, cotizaciones de precios y otros datos y mensajes relacionados con las ventas».

Huntress también arrojó luz sobre la actividad de amenaza, que describió como un «gran ataque a la cadena de suministro». Según la empresa, los actores de amenazas penetraron en un sistema backend de la plataforma de inteligencia de mercado de Klue.

«El compromiso de Klue comenzó el 11 de junio cuando ocurrió un comportamiento inusual en un sistema conectado a varias integraciones con otras plataformas de software», decía la publicación del blog. «Los atacantes han lanzado una actualización de código capaz de recopilar tokens OAuth que los clientes de Klue utilizan para conectar Klue a sus propios sistemas».

La violación de Klue parece deberse a «una credencial sin uso durante mucho tiempo pero aún activa» que se creó originalmente para que Klue probara una integración de terceros, pero que finalmente nunca se implementó, según Huntress. Los atacantes utilizaron estas credenciales para obtener acceso al entorno de Klue.

Huntress dijo que Klue se dio cuenta de la actividad maliciosa el 12 de junio y elogió a la compañía por su rápida respuesta y las próximas actualizaciones sobre la situación (que requirieron cuentas de Klue para ver). Según Huntress, Klue «rápidamente deshabilitó las credenciales OAuth para todos los clientes» y deshabilitó la integración con Salesforce, así como con varias otras aplicaciones, incluidas HubSpot, Microsoft SharePoint, Zoom y Google Drive.

Relacionado:Fileless Phantom Stealer apunta a las credenciales del navegador

Dark Reading se puso en contacto con Klue para hacer comentarios, pero la compañía no respondió al cierre de esta edición.

Ataques de Salesforce vinculados a Icarus Extortion Group

Si bien los actores de amenazas relacionados con el cazadoresbrillantes Aunque el grupo de cibercrimen fue responsable de ataques anteriores de Salesforce, la última ola parece ser obra de otro grupo: Icarus.

El 16 de junio, Huntress recibió un correo electrónico de actores de amenazas informándole a la compañía que estaban en posesión de los datos robados de Salesforce y que se harían públicos dentro de las 24 horas si Huntress no tomaba «la decisión correcta». El correo electrónico de extorsión contenía una clave única para una plataforma de comunicaciones llamada Session, presumiblemente para las víctimas. negociar un pago de rescate.

El sitio de filtraciones Icarus Dark Web afirma que algunas «grandes corporaciones» pronto aparecerán como víctimas. Fuente: Lectura oscura

Huntress descubrió que la ID de la sesión de mensajería en el correo electrónico coincidía con los mismos valores contenidos en el sitio de filtración de la web oscura para Icarus, un grupo de amenazas emergente que apareció por primera vez en el panorama de amenazas en abril. El sitio de filtración Icarus actualmente incluye una víctima, pero una publicación de «noticias» publicada el 12 de junio decía: «Se están enumerando grandes corporaciones. Esté preparado».

Además, Huntress descubrió que los correos electrónicos recibidos fueron enviados desde tres dominios de correo corporativo de una empresa australiana llamada Global Retail Brands, un minorista de electrodomésticos y artículos para el hogar. Los investigadores del proveedor creen que los actores de Icarus han comprometido la infraestructura del minorista y están utilizando su servidor de correo con fines maliciosos. Huntress informó de la actividad al Centro Australiano de Seguridad Cibernética.

Mientras continúan las investigaciones sobre las violaciones, ReliaQuest pidió a las organizaciones que revoquen y vuelvan a emitir inmediatamente «todo lo relacionado con la integración de Klue, incluida la contraseña de la cuenta de servicio, los tokens de actualización, los secretos del cliente y las concesiones activas de OAuth». El proveedor también recomendó que los equipos de seguridad revisen su actividad API de Salesforce en busca de un volumen inusual de consultas de API REST y otras anomalías, y apliquen la lista de direcciones IP permitidas en cuentas de integración de terceros y aplicaciones conectadas para bloquear cualquier acceso fuera de las fuentes aprobadas.