Auf den Punkt: Bei der Klue-Kompromittierung wurden Daten, die eine Angreifergruppe bereits gestohlen hatte, von einer zweiten Gruppe aus der Infrastruktur der ersten erbeutet – ein Szenario, das die Kontrolle über gestohlene Daten infrage stellt.
Die Kompromittierung des SaaS-Anbieters Klue zeigt ein seltenes Szenario: Eine erste Angreifergruppe wurde selbst angegriffen, wonach eine zweite Gruppe bereits gestohlene Daten erbeutete. Das Incident offenbart kritische Schwachstellen in SaaS-Integrationen, identitätsbasiertem Vertrauen und Third-Party-Risikomanagement.
Das Vancouver-basierte SaaS-Unternehmen Klue bietet eine KI-gestützte Plattform für Wettbewerbsintelligenz und bedient über 500 Kunden mit mehr als 200 Mitarbeitern in Nordamerika und Europa. Die Plattform integriert mit Salesforce, HubSpot, SharePoint, Zoom, Gong, Chorus, Clari, Google Drive und Slack, um Kontodaten, Deal-Informationen, Kontaktdaten und Call-Transkripte zu synchronisieren. Die Angreifergruppe Icarus identifizierte ein ungenutztes, aber noch aktives Service-Account-Credential, das ursprünglich für ein Pilotprojekt angelegt worden war. Über diesen Zugang ernteten die Angreifer OAuth-Token, die ihnen Zugriff auf die bei Kunden in Salesforce hinterlegten Berechtigungen gab. Sie führten umfangreiche Salesforce-API-Abfragen durch und extrahierten CRM-Daten wie Kontaktinformationen, Angebote, Preisangaben und Verkaufskommunikation.
Das ungewöhnlichste Element des Vorfalls trat nach der initialen Kompromittierung auf: Icarus informierte Klue, dass eine zweite Angreifergruppe Musterdaten nach einer Kompromittierung der Icarus-Server erbeutet habe. Diese zweite Gruppe versuchte angeblich, betroffene Organisationen direkt zu erpressen und riet den Opfern, Icarus nicht zu vertrauen. Ob alle Ansprüche verifizierbar sind, ist weniger entscheidend als die strategische Lehre: Gestohlene Daten werden selbst zum Ziel innerhalb von Kriminalökosystemen.
Dieses Szenario verändert fundamental das traditionelle Ransomware-Entscheidungsmodell. Organisationen debattieren seit langem, ob Lösegeldzahlungen die Wahrscheinlichkeit erhöhen, dass gestohlene Informationen privat bleiben. Die Klue-Kompromittierung offenbart eine noch beunruhigendere Möglichkeit: Selbst wenn eine Organisation glaubte, die ursprünglichen Angreifer würden sich zur Löschung gestohlener Daten verpflichten, kontrollieren die Verbrecher die Daten möglicherweise nicht mehr. Wenn Bedrohungsakteure schlecht gesicherte Infrastrukturen hinterlassen oder selbst kompromittiert werden, können Opfer mit wiederholten Erpressungskampagnen konfrontiert werden, obwohl sie die ursprüngliche Forderung zahlten.
Der Incident verdeutlicht, wie OAuth-Token als Angriffsvektoren fungieren – ein Fokus moderner identitätsbasierter Attacken, die von Credential-Diebstahl zu Session-Token und Anwendungsvertrauensbeziehungen übergegangen sind. Aus CISO-Perspektive verstärkt die Klue-Kompromittierung die Erkenntnis, dass Third-Party-Risiken nicht bei der Vertragsverwaltung enden, sondern dass die operative Sicherheit von Anbietern selbst zum kritischen Risikofaktor wird.
Quelle: www.csoonline.com · Erschienen 27. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.