سیلزفورس یکپارچه‌سازی اپلیکیشن Klue را پس از سوءاستفاده از توکن OAuth که داده‌های مشتریان را افشا کرد، غیرفعال کرد

سیلزفورس (Salesforce) اعلام کرد که یکپارچه‌سازی اپلیکیشن Klue Battlecards را در پی یک رخداد امنیتی در تاریخ ۱۱ ژوئن ۲۰۲۶ غیرفعال کرده است. این شرکت اعلام کرد که تیم‌های امنیتی‌اش فعالیت غیرعادی مرتبط با این اپلیکیشن را شناسایی کرده‌اند که احتمالاً به دسترسی غیرمجاز به بخشی از داده‌های مشتریان منجر شده است. گروه اخاذی موسوم به «ایکاروس» (Icarus) با بهره‌گیری از یک اعتبارنامه قدیمی و فراموش‌شده اما همچنان فعال، به زیرساخت یکپارچه‌سازی Klue نفوذ کرد و توکن‌های OAuth مشتریان این شرکت را به سرقت برد. مهاجمان سپس با استفاده از این توکن‌های دزدیده‌شده، مستقیماً به ابزارهای مدیریت ارتباط با مشتری (CRM) سازمان‌های قربانی دسترسی یافتند و داده‌ها را استخراج کردند. مدیرعامل Klue تأیید کرد که مهاجمان از طریق یک اعتبارنامه قدیمی به توکن‌های OAuth دسترسی پیدا کرده و به محیط‌های متصل تعدادی از مشتریان نفوذ کرده‌اند.

شرکت‌های امنیتی و فناوری متعددی از جمله Huntress، Jamf، Recorded Future، Tanium، Gong، Snyk، HackerOne و Sprout Social تأیید کردند که تحت تأثیر این حمله قرار گرفته‌اند؛ داده‌های به خطر افتاده عمدتاً شامل اطلاعات تجاری، اطلاعات تماس مشتریان و داده‌های فروش بوده است. محققان ReliaQuest هشدار دادند که این حمله الگویی مشابه با سوءاستفاده‌های پیشین از OAuth در محیط‌های سیلزفورس دارد و اسکریپت‌های پایتون (Python) خودکار برای استخراج انبوه داده‌ها از طریق واسط برنامه‌نویسی REST API سیلزفورس به کار گرفته شده‌اند. شرکت Obsidian Security در این باره هشدار داد که «نقض‌های زنجیره تأمین SaaS شتاب گرفته‌اند» و مهاجمان به جای هدف قرار دادن سازمان‌های منفرد، به سراغ فروشندگان SaaS مورد اعتماد آن‌ها رفته‌اند تا از طریق یک نقطه نفوذ، به صدها محیط سازمانی دسترسی پیدا کنند.