خرق بيانات سلسلة التوريد عبر OAuth لدى Klue في 2026

أخطرت Salesforce شركة Klue في 12 يونيو بنشاط مشتبه به لطرف ثالث مصدره خدمة التكامل عبر API لدى Klue. وقالت Klue إنها عطّلت وحدات pods المتأثرة في GKE ورموز GitHub المخترقة، واستبدلت بيانات اعتماد OAuth في صباح اليوم نفسه. وذكرت الشركة في تحديثها الأول الصادر في 18 يونيو أن الجهة المهاجمة وصلت إلى بيانات في عدد من بيئات العملاء المتصلة، بينما لم تتوافر أدلة على تأثر محتوى العملاء المخزّن في منصة Klue.

قالت Klue إن CrowdStrike أكملت تحقيقها في 30 يونيو، ونشرت ملخصًا للنتائج في 1 يوليو. وأفاد ذلك الملخص بعدم وجود أدلة على الوصول إلى أنظمة Klue خارج الأنظمة المرتبطة بخدمة التكامل، أو على أي نشاط للجهة المهاجمة في بيئة Klue بعد 12 يونيو. ولم يتمكن المحققون من تحديد كيفية الحصول على رمز GitHub الأصلي. وهذه هي حدود التحقيق المنشور؛ ولا يُستند إليها للادعاء بأن جميع الآثار المحتملة في بيئات الأطراف الثالثة المتصلة قد استُبعدت.

تقتصر فئات البيانات المصنّفة على بيانات اعتماد التكامل مع الأطراف الثالثة ورموز المصادقة. ويذكر الملخص الرسمي تحديدًا أن رموز المصادقة شملت رموز الوصول والتحديث الخاصة بـ Salesforce OAuth. ولا تعني هذه الفئات أن كل عميل لدى Klue، أو كل اتصال، أو المحتوى المخزّن في منصة Klue قد تأثر. وتُحفظ الإشعارات اللاحقة الصادرة عن مؤسسات بعينها في سجلات مستقلة للحوادث؛ ولا تُدمج مع حادثة التكامل الرئيسية هذه بما يؤدي إلى احتسابها مرتين.

إضافة إلى استبدال الرموز وإيقاف وحدات pods، وصفت Klue أعمالًا شملت ضوابط الوصول، وتقسيم الشبكة، وإدارة الأسرار، والمراقبة، وإعادة تفعيل عمليات التكامل على نحو منضبط. وينبغي للمؤسسات التي تلقت إخطارًا مباشرًا من Klue أو من منصة متصلة إلغاء رموز OAuth المعنية واستبدالها، ومراجعة أذونات التطبيقات المتصلة وسجلات الوصول للفترة 11–12 يونيو ضمن نطاقها الخاص. أما المستخدمون الذين لم يتلقوا إخطارًا، فلا تثبت المصادر المنشورة تأثرهم على مستوى الأفراد.