Salesforce desactivó la integración con la aplicación Klue Battlecards tras un incidente de seguridad provocado por el grupo Icarus. Los atacantes utilizaron credenciales antiguas y tokens OAuth para acceder a datos de clientes en Salesforce, incluyendo contactos y cotizaciones. Klue ya ha tomado medidas para revocar accesos y eliminar el código no autorizado.





Salesforce ha revelado que desactivó la integración de la aplicación Klue Battlecards dentro de su plataforma en respuesta a un incidente de seguridad que afectó a la empresa de inteligencia competitiva el 11 de junio de 2026.

Con este fin, las organizaciones no podrán conectarse a Salesforce a través de la aplicación hasta nuevo aviso, señaló la empresa estadounidense de software basada en la nube en una alerta publicada esta semana.

"Salesforce tomó esta medida porque nuestros equipos de seguridad detectaron recientemente una actividad inusual relacionada con la aplicación que puede haber resultado en un acceso no autorizado a un subconjunto de datos de clientes a través de la conexión de la aplicación con Salesforce", señaló aquí. "Este problema se limita a la conexión de la aplicación de Klue y no surge de una vulnerabilidad dentro de la plataforma Salesforce".

Este acontecimiento se produce mientras un grupo de extorsión denominado Icarus comprometió y exfiltró datos de clientes de Klue, incluida la empresa de ciberseguridad Huntress.

"Los datos que fueron copiados de nuestra cuenta de Salesforce incluyen contactos comerciales, presupuestos y otros datos y mensajes relacionados con las ventas", dijo Huntress aquí. "No se vieron afectados datos de amenazas, contraseñas, información de tarjetas de pago ni datos de ingeniería relacionados con el agente de Huntress o la telemetría que recopilamos".

En su propia actualización, Klue dijo que detectó una actividad no autorizada que afectó a una parte de su infraestructura de integración el 12 de junio de 2026, añadiendo que los atacantes obtuvieron acceso a través de una credencial heredada comprometida asociada a un servicio de integración.

"El atacante utilizó ese acceso para obtener tokens OAuth utilizados para conectar Klue con ciertas plataformas de terceros, incluido Salesforce, y posteriormente accedió a datos dentro de varios entornos de clientes conectados", dijo el CEO de Klue, Jason Smith aquí. "Basándonos en nuestra investigación hasta la fecha, el incidente se limitó a las plataformas de terceros afectadas y no hay pruebas de que el contenido de los clientes almacenado dentro de la plataforma Klue se haya visto afectado".

Específicamente, se dice que la intrusión permitió al actor de amenazas lanzar una actualización de código capaz de recopilar tokens OAuth que sus clientes utilizan para conectar Klue a sus propios sistemas. En respuesta a la brecha, Klue ha tomado medidas para revocar las credenciales y tokens afectados, eliminar el código no autorizado, detener el acceso remoto, desactivar las integraciones potencialmente impactadas y lanzar una investigación exhaustiva.

Hasta el 16 de junio de 2026, algunos empleados de Huntress han recibido un correo electrónico con el asunto "correo electrónico secreto" y una advertencia que dice: "Tus datos de Salesforce han sido descargados... Tienes 48 horas para comunicarte con nosotros. Toma la decisión correcta".

"El actor de la amenaza parece haber aprovechado una credencial largamente desusada pero aún activa para llevar a cabo el compromiso inicial; una que fue creada originalmente por Klue para prototipar una integración de terceros que luego abandonaron", dijo la empresa. "El actor de la amenaza luego pivotó hacia la infraestructura de Klue para robar los tokens utilizados por los clientes de Klue, luego utilizó esas credenciales robadas para consultar directamente las herramientas CRM de esos clientes y, finalmente, para exfiltrar los datos".

No se sabe mucho sobre el actor Icarus más allá del hecho de que han estado activos desde el 28 de abril de 2026 y han reclamado un total de dos víctimas hasta la fecha. Dicho esto, la campaña de robo de datos refleja olas de ataques previas montadas por ShinyHunters y UNC6395.

ReliaQuest, en su propio análisis del abuso de la integración de Klue, dijo que la actividad comparte similitudes con el libro de estrategias de abuso de OAuth de terceros asociado con los compromisos de Salesloft Drift y Gainsight que tuvieron como objetivo los entornos de Salesforce el año pasado.

"En los ataques que observamos, el adversario primero se autenticó a través de una cuenta de servicio de integración de Klue comprometida, generó tokens OAuth y ejecutó scripts automatizados de Python", dijeron los investigadores de ReliaQuest Thassanai McCabe y Alexa Feminella aquí.

"Estos scripts primero enumeraron el catálogo de objetos de la organización a través de GET /services/data/v59.0/sobjects, luego ejecutaron consultas de la API REST contra el endpoint de consulta de Salesforce (/services/data/v59.0/query) y paginaron los resultados a través del cursor QueryMore durante casi 24 horas".

Se evalúa que estas sean acciones de recuperación de datos masivos diseñadas para extraer grandes volúmenes de registros de CRM a través de la API REST de Salesforce. Esto incluyó una "ráfaga concentrada" de casi mil consultas en 15 minutos contra al menos un entorno y una ventana de extracción que duró más de seis horas en otro caso.

No está claro cuántos clientes de Salesforce se vieron afectados por los últimos ataques, aunque Klue dijo que se ha estado comunicando directamente con los clientes impactados, compartiendo los hallazgos de la investigación y ayudando en sus esfuerzos de respuesta.

"El hilo común es el abuso de tokens OAuth o credenciales de un proveedor tercero confiable", dijo ReliaQuest. "Estas integraciones son identidades no humanas con acceso persistente y a menudo amplio a datos sensibles, sin embargo, normalmente se supervisan mucho menos que las cuentas de los empleados. Esa brecha es la razón por la cual un ciclo de consultas automatizadas de 24 horas podría ejecutarse desde una cuenta de integración 'confiable' sin activar las alarmas habituales".

Fuente:
THN