Компания LastPass подтвердила утечку данных клиентов в её Salesforce-среде в результате атаки на цепочку поставок платформы Klue

Инцидент произошёл 11–12 июня 2026 года, когда злоумышленники из группы Icarus скомпрометировали инфраструктуру Klue — платформы анализа рынка, интегрированной с Salesforce и Gong.

Компания LastPass подтвердила утечку данных клиентов в её Salesforce-среде в результате атаки на цепочку поставок платформы Klue. Фото: СС0

Хакеры получили доступ через устаревшие, но активные учётные данные, оставшиеся от заброшенного интеграционного проекта, и использовали их для внедрения вредоносного кода, который собирал OAuth-токены клиентов Klue. С помощью этих токенов злоумышленники напрямую обращались к Salesforce API пострадавших организаций и в течение примерно 24 часов извлекали данные, совершив почти тысячу запросов за 15 минут и поддерживая активность по выемке более шести часов.

В случае LastPass были скомпрометированы стандартные бизнес-контакты и CRM-данные, включая имена, номера телефонов, адреса электронной почты и физические адреса клиентов, а также информацию по обращениям в поддержку и продажам.

Компания подчеркнула, что продукты, услуги и зашифрованные хранилища с паролями не пострадали, а доступ к Gong-данным также не был обнаружен. После обнаружения инцидента LastPass отключила доступ сотрудников к Klue, заменила скомпрометированные токены и уведомила правоохранительные органы.

Группа Icarus, действующая с апреля 2026 года, инициировала кампанию по вымогательству, рассылая письма с угрозами через скомпрометированные почтовые серверы и требуя связаться с ними через мессенджер Session.

В числе других подтверждённых жертв атаки — Huntress, Recorded Future, Tanium, Jamf, Sprout Social, Gong, Insurity, HackerOne, OneTrust, Snyk и другие организации.

Администрация LastPass предупредила клиентов о возможных фишинговых атаках и социальной инженерии, которые могут использовать полученные контактные данные, и рекомендовала с осторожностью относиться к нежелательным сообщениям, запрашивающим конфиденциальную информацию.

В качестве индикаторов компрометации компания опубликовала IP-адреса злоумышленников и домены отправителей, используемые в письмах вымогателей, включая baccarat.com.au, robinskitchen.com.au и house.com.au.