Datendiebstahl über Klue-Integration: Salesforce sperrt die App

Angreifer nutzten OAuth-Tokens der Klue-Battlecards-Integration, um CRM-Daten abzuziehen. Salesforce hat die Verbindung deaktiviert.

Erneut ist eine Drittanbieter-Integration zum Einfallstor für Datendiebstahl aus Salesforce geworden. Betroffen ist Klue Battlecards, eine Anwendung für Wettbewerbsanalysen im Vertrieb. Salesforce hat die Verbindung der App deaktiviert; Kunden können sich bis auf Weiteres nicht über Klue mit Salesforce verbinden.

Was passiert ist

Laut Klue drangen die Angreifer am 12. Juni über eine kompromittierte, ältere Zugangsberechtigung eines Integrations-Servicekontos in die Infrastruktur des Anbieters ein. Von dort nutzten sie OAuth-Tokens der Kunden-Integrationen und zogen über automatisierte REST-API-Abfragen Salesforce-Daten ab. Das Sicherheitsunternehmen ReliaQuest beobachtete Skripte, die fast 24 Stunden liefen – in einer Umgebung mit knapp tausend Abfragen in 15 Minuten. Je nach Umfang der Integration waren Accounts, Kontakte, Abschlussergebnisse und Preise erreichbar.

Schaubild (vereinfacht): Der Zugriff lief über die Verbindung der App, nicht über eine Schwachstelle der Plattform.

Salesforce betont, dass keine Schwachstelle der Plattform ausgenutzt wurde, sondern die Verbindung der App. Klue deaktivierte zusätzlich weitere Integrationen, etwa zu HubSpot, SharePoint, Zoom und Slack. BleepingComputer ordnet den Angriff einer neuen Gruppe namens Icarus zu.

Was Admins tun sollten

Zugangsdaten und OAuth-Tokens – einschließlich Refresh Tokens – für Salesforce-verbundene Integrationen widerrufen und neu ausstellen.
Login- und API-Protokolle auf verdächtige IP-Adressen prüfen und aktive Sitzungen beenden.
Alle Connected Apps inventarisieren und nach dem Prinzip der minimalen Rechte einschränken. Jede Drittanbieter-App mit OAuth-Zugriff gehört zur Angriffsfläche der Org.