Утечка данных LastPass через цепочку поставок Klue в 2026 году

Klue была сторонней платформой, которую использовали подразделения LastPass, отвечающие за вывод продуктов на рынок. Она была интегрирована с Salesforce и Gong. По данным LastPass, злоумышленник получил токены OAuth, которые Klue хранила для многих клиентов. Затем он использовал учётные данные LastPass для доступа к её среде Salesforce. Началом этой цепочки стало злоупотребление доверенными учётными данными интеграции, а не первоначальное проникновение в инфраструктуру продукта LastPass для управления паролями.

Токен OAuth, это не обязательно пароль, а учётные данные, позволяющие интегрированному приложению обращаться к API или сервису в пределах ранее предоставленных разрешений. Похищенный токен может позволить злоумышленнику действовать в рамках этих разрешений. LastPass не раскрыла полный перечень открытых объектов Salesforce, обращений в поддержку и записей о продажах, дату первого несанкционированного доступа или объём скопированных данных.

В официальном заявлении эта информация описывается как стандартные деловые контактные данные и данные системы управления взаимоотношениями с клиентами. В перечень входят имена клиентов, номера телефонов, адреса электронной почты и физические адреса, а также данные обращений в поддержку и сведения, связанные с продажами. LastPass не утверждала, что все перечисленные поля были заполнены для каждого клиента или что доступ был получен ко всем обращениям в поддержку.

Содержимое обращений в поддержку может различаться. Компания отдельно не подтвердила доступ к текстам сообщений, вложениям, техническим журналам или другим конкретным полям. Поэтому пароли, мастер-пароли, содержимое хранилищ, платёжные данные и документы, удостоверяющие личность, не включаются в перечень лишь на том основании, что теоретически могли присутствовать в каком-либо другом обращении в поддержку. Общее число клиентов, количество обращений в поддержку и общее число пользователей LastPass не могут служить количественной оценкой масштаба утечки.

LastPass заявила, что инцидент затронул только системы, интегрированные с Klue, и никак не повлиял на продукты, сервисы и инфраструктуру LastPass. Хранилища паролей клиентов оставались в безопасности. Этот вывод не отменяет подтверждённого доступа к информации о клиентах в Salesforce: он означает, что инцидент не затронул основную среду менеджера паролей и зашифрованного содержимого хранилищ.

В ходе расследования не было обнаружено свидетельств того, что злоумышленник получил доступ к данным, связанным с Gong. Это важное различие, поскольку Gong может содержать записи звонков клиентов и содержимое электронных писем. Формулировка «нет свидетельств» отражает опубликованный результат расследования и означает, что доступ к данным Gong не следует указывать как подтверждённый. Не было представлено свидетельств получения мастер-паролей LastPass, сохранённых паролей от сайтов или ключей расшифрования.

LastPass прекратила доступ всех сотрудников к Klue, заменила скомпрометированные токены API и OAuth и начала подробное расследование совместно с представителями Klue и Salesforce. Компания уведомила правоохранительные органы и сообщила, что сотрудничает с ними. Непосредственные меры реагирования в виде замены токенов были завершены, а работа над дополнительными средствами защиты и усилением протоколов для предотвращения подобных инцидентов у сторонних поставщиков продолжалась.

Команда компании по анализу киберугроз сообщила, что делится тактиками, техниками и процедурами с широким сообществом специалистов по безопасности, чтобы сорвать кампанию злоумышленников и помочь тем, кто обеспечивает защиту. LastPass также опубликовала четыре IP-адреса и три домена отправителей в качестве индикаторов. Индикаторы могут со временем меняться, и по одним лишь этим данным нельзя достоверно определить, вредоносно или безопасно каждое сообщение.

Имена, номера телефонов, адреса электронной почты, физические адреса и сведения об обращениях в поддержку могут использоваться для создания весьма убедительных сообщений от имени службы поддержки LastPass. Злоумышленник может сослаться на реальное обращение или взаимодействие с отделом продаж и попросить сообщить мастер-пароль, код многофакторной аутентификации либо войти через поддельную страницу. LastPass подчеркнула, что никто из сотрудников компании не будет запрашивать мастер-пароль и что клиентам следует доверять только официальным каналам поддержки.

Клиенты могут проверять неожиданные звонки, письма и запросы конфиденциальной информации через известный им канал поддержки LastPass, а не по ссылке или номеру из сообщения. Тот факт, что хранилища не были затронуты, сам по себе не означает необходимости менять все сохранённые в них пароли. Однако если информация была введена на подозрительной странице, мастер-пароль и учётные данные затронутых аккаунтов следует заменить через официальное приложение.

Это не прямая компрометация основной инфраструктуры менеджера паролей LastPass, а доступ к данным клиентов в Salesforce с помощью токенов интеграции, похищенных у Klue. Компания не опубликовала поддающееся проверке общее число затронутых людей или записей. Отсутствие раскрытых количественных данных не означает, что инцидент не имел последствий: оно означает, что общедоступные источники не позволяют достоверно установить итоговое число.

Подтверждено, что злоумышленник получил токены OAuth, хранившиеся у Klue, и доступ к именам, номерам телефонов, адресам электронной почты, физическим адресам, обращениям в поддержку и данным о продажах в Salesforce. Токены были заменены, а доступ к Klue прекращён. Продукты, инфраструктура и хранилища паролей LastPass не были затронуты; свидетельств доступа к Gong не обнаружено. Точное время доступа, число затронутых людей, количество записей и содержимое каждого обращения по-прежнему не раскрыты.