Klue-Datenleck: Bekannte Opfer und eine zweite Erpressergruppe

Nach dem Angriff auf Klue bestätigen Gong, LastPass, Snyk und weitere Unternehmen, betroffen zu sein. Eine zweite Gruppe will die Daten von den Angreifern gestohlen haben.

Der Angriff auf die Salesforce-Integration von Klue zieht weitere Kreise. Mehrere Kunden haben inzwischen bestätigt, betroffen zu sein, darunter Gong, Jamf, HackerOne, Huntress, LastPass, OneTrust, Recorded Future, Snyk, Sprout Social und Tanium. Auffällig viele davon sind selbst Sicherheitsunternehmen.

Verhandlungen und eine zweite Gruppe

Die verantwortliche Gruppe Icarus hatte von Klue Geld gefordert. Klue erklärte später, Icarus kooperiere und lösche die erbeuteten Kundendaten. Ob Klue gezahlt hat, ließ sich nicht unabhängig bestätigen.

Dann meldete sich eine zweite, unbekannte Gruppe: Sie behauptet, die Daten wiederum bei Icarus gestohlen zu haben, und erpresst nun Klue-Kunden direkt. Nach Angaben, die Icarus an Klue weitergab, sind insgesamt 195 Klue-Kunden betroffen. SecurityWeek berichtet, die zweite Gruppe habe womöglich nur Beispieldaten erbeutet.

Was daraus folgt

Der Fall zeigt, wie schwer sich Datenabflüsse über Drittanbieter eingrenzen lassen: Selbst wenn ein Angreifer die Löschung zusagt, bleibt unklar, wo Kopien liegen. Für Salesforce-Kunden heißt das vor allem, den Kreis der Apps mit OAuth-Zugriff klein zu halten, Berechtigungen von Integrationsnutzern zu begrenzen und Event-Monitoring-Daten auf ungewöhnlich große API-Abfragen zu prüfen.