Le mois dernier, des pirates ont utilisé des identifiants volés pour infiltrer Klue, fournisseur de solutions SaaS de veille concurrentielle. Mais les prémices de cette attaque remontent apparemment à quatre ans plus tôt.
dirigeants de Klue dit qu'en 2022, la société basée à Vancouver a délivré une accréditation à un tiers non identifié pour un projet pilote limité. enquête Crowdstrike a révélé par la suite que l'identifiant était un jeton d'accès personnel GitHub (PAT), qui permet aux développeurs d'accéder aux dépôts de développement logiciel.
À la fin de la phase pilote, le jeton est resté actif, car personne ne l'avait révoqué. Il est resté là, invisible aux yeux des clients qui avaient donné à Klue accès à leurs secrets les plus intimes. C'était une bombe à retardement.
L'enquête n'a pas permis de déterminer comment Icarus (un nouveau groupe, actif seulement depuis avril 2026) a obtenu le PAT, mais le 11 juin, il a utilisé le jeton pour pousser un nouveau code dans la couche de service d'intégration de Klue.
C'est à ce niveau que Klue extrait les données des systèmes de ses clients, hébergés sur des services comme Salesforce et Gong. Ces données lui permettent de réaliser des analyses de veille concurrentielle pour ses clients, permettant ainsi à leurs commerciaux d'aborder les négociations mieux préparés.
La mise à jour du code a permis de récupérer les jetons OAuth (jetons de session persistants pour un accès sans mot de passe répété) que Klue conservait pour accéder aux données de ses clients sur ces systèmes. Les attaquants ont ensuite utilisé ces jetons pour s'emparer de données provenant des instances Salesforce et Gong de ces clients.
Jetons OAuth comme blanchiment de légitimité
L'attaque n'a pas été facile à détecter car l'utilisation de jetons OAuth volés ne semble pas suspecte tant que ces jetons ne sont pas révoqués. Icarus a effectué des requêtes REST directes contre les instances Salesforce et Gong, comme le ferait n'importe quel client légitime.
C’est Salesforce qui a informé Klue de ce qui s’était passé le 12 juin, incitant ainsi la société de veille concurrentielle à renouveler ses jetons OAuth.
La liste des victimes confirmées comprenait HackerOne, Huntress, Jamf, Recorded Future, Snyk et LastPass. On dirait un répertoire d'entreprises dont le métier consiste précisément à expliquer aux autres comment gérer ce type de risque.
L'impact sur les victimes est largement documenté sur Internet, ces dernières ayant dû publier des mises à jour sur les conséquences du problème de Klue. Salesforce a confirmé que l'incident était « limité à la connexion de l'application Klue et ne provient pas d'une vulnérabilité de la plateforme Salesforce », faisant ainsi peser la responsabilité de la surveillance sur le client ayant autorisé l'intégration. dit « Les organisations ne pourront pas se connecter à Salesforce via cette application jusqu'à nouvel ordre. » Gong dit la même choseEt Tanium aussi. Klue bloqué.
LastPass divulgués Il a été constaté que les noms, adresses électroniques, numéros de téléphone et adresses postales des clients, ainsi que les détails des demandes d'assistance et les données relatives aux ventes, avaient été exposés. L'entreprise a immédiatement suspendu l'accès de tous ses employés à Klue.
Chasseresse ont effectué des mises à jour détailléesIcarus a publié une fuite de données sur son site du dark web et a menacé d'en diffuser davantage, citant plus de 200 entreprises victimes. Le site de fuite a été identifié comme étant hébergé en Russie.
Aucune des victimes en aval n'avait de moyen plausible de voir ce qui se passait au sein de l'infrastructure de Klue ; leurs programmes de gestion des risques fournisseurs avaient vraisemblablement approuvé l'intégration et étaient passés à autre chose. Pour de nombreuses équipes de sécurité, les audits des entreprises SaaS semblent être une opération ponctuelle. Une fois que le fournisseur a rempli le questionnaire et obtenu l'approbation, l'affaire est considérée comme close.
Pourquoi cela rend la norme ISO 27001 plus précieuse
Les contrôles des fournisseurs et de la gestion des accès de la norme ISO 27001 sont conçus pour protéger contre les défaillances exploitées par Icarus.
Le contrôle A.5.16 exige que les organisations gèrent l'intégralité du cycle de vie de chaque identité, de l'approvisionnement à la suppression, tandis que le contrôle A.5.18 étend la même discipline aux informations d'identification d'authentification, en imposant des calendriers de rotation documentés pour les clés API et les jetons.
Appliquées de manière cohérente, l'une ou l'autre de ces méthodes aurait permis de déceler un problème vieux de quatre ans bien avant Icare. Les difficultés actuelles de Klue illustrent parfaitement les conséquences désastreuses, en aval, du non-respect de ces principes.
Mais c'est une chose que Klue aurait pu faire en interne, et non quelque chose que ses clients peuvent contrôler. Que peut faire une entreprise pour se protéger des erreurs de ses fournisseurs ?
Les contrôles A.5.19 à A.5.23 régissent la relation fournisseur elle-même. Le contrôle A.5.22 exige des organismes qu'ils surveillent, examinent et auditent régulièrement les services de leurs fournisseurs.
A.5.21 pousse l’obligation plus loin, exigeant que les exigences de sécurité soient transmises aux sous-traitants et que l’utilisation des sous-traitants soit enregistrée dans les contrats fournisseurs.
Un système de gestion de la sécurité de l'information concrétise ces clauses, transformant un questionnaire annuel en un registre mis à jour en temps réel des intégrations, des identifiants et des autorisations d'accès. Il impose une discussion sur la désactivation des accès à la fin d'un projet pilote. Il fournit également aux responsables de la conformité une piste d'audit leur permettant de prouver que leurs fournisseurs et leurs sous-traitants font l'objet du même contrôle continu que les fournisseurs directs avec lesquels ils ont un contrat.
À son crédit, Klue a pris plusieurs mesures pour éviter que cela ne se reproduise, notamment en interdisant l'utilisation des jetons d'accès personnel et en migrant vers d'autres mécanismes d'authentification. L'entreprise a amélioré son système de journalisation des audits et renforcé le contrôle de ses processus de développement logiciel. Mieux vaut tard que jamais.
Un système de gestion de la sécurité de l'information (SGSI) permet aux responsables de la conformité de s'assurer qu'ils ne fassent pas la une des journaux, que ce soit en tant que cible directe d'une violation de données ou en tant que client d'une victime compromise.
Élargissez vos connaissances
Blog: Comment les ransomwares sont devenus un problème de résilience des entreprises
Blog: Attention à l'écart : L'incident Salesforce et l'évolution des risques liés au cloud
