KlueのOAuth情報漏洩は、「Icarus」によるSalesforceデータ窃取攻撃と関連している

市場情報プラットフォーム「Klue」でOAuthのセキュリティ侵害が発生し、これにより「Icarus」と名乗る攻撃者グループが、現在進行中の恐喝キャンペーンの一環として、複数の組織からSalesforce CRMデータを盗み出した。

情報筋は昨日、この攻撃について当メディアに明かし、多数の組織でSalesforceデータが盗まれ、現在、比較的新しい身代金要求グループから脅迫を受けていると伝えた。

サイバーセキュリティ企業のReliaQuestとHuntressは、いずれもこのセキュリティインシデントを確認するレポートを発表しており、Huntressは、同社のSalesforceデータもこの攻撃で盗まれたと述べている。

Salesforceは、この侵害の調査が行われている間、自社プラットフォーム上のKlue Battlecardsとの連携機能を無効化しました。

「お客様を保護するため、Salesforceは最近のセキュリティインシデントへの対応の一環として、個々の顧客がインストールした『Klue Battlecards』アプリとSalesforceとの接続を無効にしました」と、Salesforceは昨日警告した。

「その結果、追って通知があるまで、組織はこのアプリを介してSalesforceに接続できなくなります。」

本件またはその他の未公表の攻撃に関する情報をお持ちの方は、Signal（646-961-3731）またはtips@bleepingcomputer.comを通じて、秘密厳守で当方までご連絡ください。

Salesforceデータの窃取に盗まれたOAuth認証情報が利用された

ReliaQuestによると、攻撃者はKlue Battlecardsの統合サービスアカウントへのアクセス権を取得し、顧客のSalesforceインスタンスに関連付けられたOAuthトークンを使用してデータ窃取を行ったという。

研究者らは、脅威アクターがOAuthトークンを生成した後、自動化されたPythonスクリプトを使用して、約24時間にわたりSalesforceのREST APIに対してクエリを実行していることを確認しました。

この活動は、まず「/services/data/v59.0/sobjects」エンドポイントを通じて組織のSalesforceインスタンスを偵察することから始まり、その後「/services/data/v59.0/query」を使用してデータを持ち出しました。

ReliaQuestによると、ある組織の場合、攻撃者はまずSalesforceオブジェクトを徐々にマッピングして価値のあるオブジェクトを特定し、目的のオブジェクトが判明すると急速にデータを盗み出したという。

「その後、攻撃者は同じエンドポイントにアクセスし、少なくとも1つの環境において、15分間の間に1,000件近くのクエリを送信しました」とReliaQuestは説明しています。

「第1段階が周囲に溶け込むよう設計された緩やかで着実なデータ収集であったのに対し、この集中攻撃はステルス性を犠牲にして速度を優先しており、時間的制約か、あるいは標的を絞ったレコードへの移行を示唆している。別の事例では、データの持ち出しが6時間にわたって確認された。」

研究者らは、この活動が、身代金要求グループ「ShinyHunters」による過去のSalesforceサードパーティ統合データ窃取攻撃と酷似していると述べたが、今回の攻撃を当該脅威アクターによるものと断定することはできなかった。

しかし、昨日判明したところによると、この攻撃の背後にいたのはShinyHuntersではなく、「Icarus」として知られる比較的新しい脅威アクターであり、同グループはすでに、この情報漏洩の影響を受けたKlueの顧客に対して、身代金要求のメールを送信し始めていた。

当メディアが入手した身代金要求書によると、これらのメールは「mr bean」という別名を使用して送信されており、連絡用のSession Messenger IDが記載されていた。

この脅威アクターのデータ流出サイトには、「Get Ready」というシンプルなタイトルの投稿があり、身代金要求キャンペーンをほのめかすメッセージが掲載されている。「大企業がリストに載る。覚悟しておけ。」

Icarusは2026年4月に活動を開始したとみられ、当初はデータ漏洩サイトに2つの被害組織を掲載していたが、そのうち少なくとも1つがKlueキャンペーンに関連していることが判明した。現在、その企業はデータ漏洩サイトから削除されており、交渉が進行中であることを示唆している可能性がある。

本日、Huntress社は、自社がKlueの侵害被害を受けた組織の一つであることを明らかにし、当サイトが確認したものと同様の恐喝メールを受信したことを認めた。しかし、その後のメールで使用されたセッションIDは異なり、代わりにIcarusのデータ漏洩サイトに掲載されていたものだった。これは、Icarusが攻撃の背後にいることを示すさらなる証拠となっている。

「最初のメールで、攻撃者は『Session上で私たちに連絡することをお勧めします』（原文ママ）と示唆しています」とHuntressは報告した。

「彼らが提供したSession Messenger IDは、『Icarus』と名付けられた新たな恐喝グループのダークウェブ漏洩サイトに掲載されていた値と一致していた。」

Huntressによると、Klueは顧客に対し、攻撃者がまず同社のバックエンドシステムを侵害し、その後、顧客がBattlecards製品をサードパーティのプラットフォームと統合するために使用するOAuthトークンを盗む悪意のあるコードの更新を押し込んだと説明した。

報道によると、攻撃者は、Klueがプロトタイプの統合用に作成した、休止中ではあるが依然として有効な認証情報を利用した。Klueの環境へのアクセス権を取得した後、攻撃者は顧客のOAuthトークンを盗み出し、それらを使用して接続されたSalesforce環境に直接クエリを実行した。

Klueはその後、本件への対応の一環として、Salesforce、HubSpot、SharePoint、Zoom、Gong、Chorus、Clari、Google Drive、Slackとの連携機能を無効化した。

Huntressによると、盗まれたデータには、ビジネス連絡先、営業コミュニケーション、見積書、競合情報レポート、アカウントデータなど、CRM関連の情報が含まれているという。

同サイバーセキュリティ企業によると、脅威インテリジェンス、顧客テレメトリ、パスワード、決済カード情報、またはエンジニアリングシステムが侵害されたという証拠はないとのことです。

ReliaQuestとHuntressの両社は、この攻撃に関連するIPアドレスを公開しており、その一覧は以下の通りです：

138.226.246.94
212.86.125.24
213.111.148.90
94.154.32.160

Klueの統合機能を利用している組織は、Salesforceおよび関連するSaaSのログを確認し、これらのアドレスから発信されたアクティビティがないか確認するとともに、OAuthトークンを無効化および更新し、アクティブなセッションを終了させ、Salesforceのログを調べて異常なAPIアクティビティがないか確認することを推奨します。