Filtración de datos de Klue de 2026 en la cadena de suministro de OAuth
La filtración de datos de Klue de 2026 en la cadena de suministro de OAuth abarca la ejecución no autorizada de código en el servicio de integración con terceros de la empresa y la recopilación de credenciales de las plataformas conectadas.
El total de afectados no está confirmado, por lo que no se puede determinar la gravedad únicamente a partir de la cantidad de registros.
Tipos de datos expuestos
2- Credenciales de integraciones de terceros
- Tokens de autenticación
Acerca de esta brecha de datos
Según el resumen de la investigación publicado por Klue, el atacante utilizó el 11 de junio de 2026 un token de acceso personal de GitHub previamente comprometido para introducir código en el servicio de integración y recopilar credenciales de integración con terceros, incluidos tokens de acceso y de actualización OAuth de Salesforce. Klue no reveló el número total de clientes, entornos, cuentas o tokens afectados, y en el entorno de producción no hay un conjunto de datos local a nivel individual para este incidente.
¿Cuál es la cronología del incidente y cuál es su alcance?
Salesforce notificó a Klue el 12 de junio una sospecha de actividad de terceros procedente del servicio de integración API de Klue. Klue afirmó que esa misma mañana deshabilitó los pods de GKE afectados y los tokens de GitHub comprometidos, y rotó las credenciales OAuth. En su actualización inicial del 18 de junio, la empresa indicó que el atacante había accedido a datos de varios entornos de clientes conectados, mientras que no había pruebas de que el contenido de los clientes almacenado en la plataforma Klue se hubiera visto afectado.
Klue afirmó que CrowdStrike concluyó su investigación el 30 de junio y publicó un resumen de los hallazgos el 1 de julio. Ese resumen señaló que no había pruebas de acceso a sistemas de Klue ajenos a los asociados al servicio de integración y que no hubo actividad del atacante en el entorno de Klue después del 12 de junio. Los investigadores no determinaron cómo se obtuvo el token original de GitHub. Estos son los límites de la investigación publicada; no permiten afirmar que se hayan descartado todos los posibles efectos en los entornos de terceros conectados.
¿Qué categorías de datos están documentadas?
Las categorías de datos estructuradas se limitan a las credenciales de integración con terceros y los tokens de autenticación. El resumen oficial indica expresamente que estos últimos incluían tokens de acceso y de actualización OAuth de Salesforce. Estas categorías no significan que se vieran afectados todos los clientes de Klue, todas las conexiones o el contenido almacenado en la plataforma Klue. Los avisos posteriores de instituciones individuales se mantienen como registros de incidentes independientes; no se fusionan con este incidente principal de integración para evitar un recuento duplicado.
Además de la rotación de tokens y la desactivación de pods, Klue describió trabajos relacionados con los controles de acceso, la segmentación de la red, la gestión de secretos, la supervisión y la reactivación controlada de las integraciones. Las organizaciones notificadas directamente por Klue o por una plataforma conectada deberían revocar y sustituir los tokens OAuth correspondientes, y revisar los permisos de las aplicaciones conectadas y los registros de acceso del periodo del 11–12 de junio dentro de su propio ámbito. En el caso de los usuarios que no recibieron un aviso, las fuentes publicadas no permiten determinar una afectación a nivel individual.
Método de verificación y revisión editorial
LeakData compara el nombre del incidente, la fecha, la cantidad de registros afectados y los tipos de datos expuestos con fuentes accesibles. Los campos no verificados no se presentan como hechos, y los registros se actualizan cuando se dispone de nuevas pruebas.
Notificar errores u omisiones en la información
