Утечка данных Klue при атаке на цепочку поставок OAuth в 2026 году
Утечка данных Klue в 2026 году при атаке на цепочку поставок OAuth связана с несанкционированным выполнением кода в сервисе компании для интеграций со сторонними платформами и сбором учётных данных для подключённых платформ.
Общее число затронутых записей не подтверждено, поэтому определить серьёзность только по их количеству нельзя.
Типы раскрытых данных
2- Учётные данные сторонних интеграций
- Токены аутентификации
Об этой утечке
Согласно опубликованной Klue сводке результатов расследования, 11 июня 2026 года злоумышленник использовал ранее скомпрометированный персональный токен доступа GitHub, чтобы внедрить код в сервис интеграций и собрать учётные данные сторонних интеграций, включая токены доступа и обновления Salesforce OAuth. Klue не раскрыла общее число затронутых клиентов, сред, аккаунтов или токенов, а в рабочей среде отсутствует локальный набор данных об отдельных людях по этому инциденту.
Каковы хронология и масштабы инцидента?
12 июня Salesforce уведомила Klue о предполагаемой активности посторонних лиц, источником которой был сервис API-интеграций Klue. По заявлению Klue, в то же утро компания отключила затронутые поды GKE и скомпрометированные токены GitHub и провела ротацию учётных данных OAuth. В первом сообщении компании от 18 июня говорилось, что злоумышленник получил доступ к данным в ряде подключённых клиентских сред, при этом свидетельств того, что были затронуты клиентские материалы, хранящиеся на платформе Klue, не было.
Klue сообщила, что CrowdStrike завершила расследование 30 июня и опубликовала сводку результатов 1 июля. В этой сводке сообщалось об отсутствии свидетельств доступа к системам Klue, не связанным с сервисом интеграций, и об отсутствии активности злоумышленника в среде Klue после 12 июня. Эксперты, проводившие расследование, не установили, как был получен исходный токен GitHub. Этими выводами ограничивается опубликованное расследование; они не означают, что были исключены все возможные последствия в подключённых сторонних средах.
Какие категории данных подтверждаются источниками?
В структурированном перечне категорий указаны только учётные данные сторонних интеграций и токены аутентификации. В официальной сводке прямо сказано, что среди токенов аутентификации были токены доступа и обновления Salesforce OAuth. Указание этих категорий не означает, что были затронуты все клиенты Klue, все подключения или материалы, хранящиеся на платформе Klue. Последующие уведомления отдельных организаций ведутся как самостоятельные записи об инцидентах; их не объединяют с этим основным инцидентом в сервисе интеграций, чтобы избежать двойного подсчёта.
Помимо ротации токенов и отключения подов, Klue описала работы по контролю доступа, сегментации сети, управлению секретами, мониторингу и контролируемому возобновлению работы интеграций. Организациям, получившим уведомление непосредственно от Klue или подключённой платформы, следует отозвать и заменить соответствующие токены OAuth, а также проверить разрешения подключённых приложений и журналы доступа за 11–12 июня в пределах своих сред. Для пользователей, не получивших уведомления, опубликованные источники не подтверждают последствий на уровне отдельных лиц.
Методика проверки и подготовки материалов
LeakData сверяет название инцидента, дату, число затронутых записей и типы раскрытых данных с доступными источниками. Неподтверждённые сведения не представляются как факты, а записи обновляются при появлении новых подтверждающих данных.
Сообщить о недостающих или неверных сведениях
