LastPass 2026 Klue 供应链数据泄露事件

Klue 是 LastPass 市场拓展团队使用的第三方平台，与 Salesforce 和 Gong 集成。据 LastPass 称，一名未经授权的行为者获取了 Klue 为众多客户持有的 OAuth 令牌，并使用 LastPass 的凭证访问了其 Salesforce 环境。这条访问链始于对受信任集成身份的滥用，而非首先侵入 LastPass 密码管理产品的基础设施。

OAuth 令牌不一定是密码；它是一种凭证，允许集成应用在先前授予的权限范围内访问 API 或服务。令牌被盗后，行为者可能在这一授权范围内执行操作。LastPass 未披露具体打开了哪些 Salesforce 对象、支持工单或销售记录，也未披露首次未经授权访问的日期或复制的数据量。

官方声明将这些信息描述为常规业务联系信息和客户关系管理数据。列出的字段包括客户姓名、电话号码、电子邮箱地址和实体地址，以及支持工单和销售相关数据。LastPass 并未表示每位客户都有上述所有字段，也未表示所有支持工单都被访问。

支持工单的内容可能各不相同，公司并未单独确认是否涉及消息正文、附件、技术日志或其他具体字段。因此，不能仅因密码、主密码、密码库内容、支付数据和身份证件理论上可能出现在某条无关的支持记录中，就将它们列为此次事件涉及的数据。客户规模、支持工单总量以及 LastPass 的整体用户数，都不能代替此次泄露的受影响数量。

LastPass 表示，影响范围仅限于与 Klue 集成的系统，LastPass 的产品、服务和基础设施均未受到任何影响。客户密码库仍然安全。这一结论并不否定 Salesforce 客户信息已被访问这一已确认的事实；它说明此次事件并未涉及核心密码管理器及加密密码库内容所在的环境。

调查未发现证据表明该行为者访问过 Gong 相关数据。由于 Gong 可能包含客户通话和电子邮件内容，这一区别很重要。“未发现证据”是已公布的调查结论，意味着不应将 Gong 数据列为已确认被访问的数据。也没有证据表明 LastPass 主密码、所存储的网站密码或解密密钥遭到获取。

LastPass 停止了所有员工对 Klue 的访问，轮换了已暴露的 API 和 OAuth 令牌，并与 Klue 和 Salesforce 的联系人展开详细调查。公司通知了执法部门，并表示正在配合调查。通过令牌轮换进行的直接补救已完成，同时仍在推进额外防护措施和更严格的规程，以防范类似的第三方事件。

公司的威胁情报团队表示，正在与更广泛的安全社区分享战术、技术和流程，以打断此次攻击活动并支持安全防御工作。LastPass 还公布了 4 个 IP 地址和 3 个发件人域名，作为相关指标。这些指标可能随时间变化，仅凭它们无法证明每一条消息是恶意的还是安全的。

姓名、电话号码、电子邮箱地址、实体地址以及支持工单背景信息，都可能被用于制作极具迷惑性的消息，冒充 LastPass 客服。攻击者可能会提及真实的工单或销售往来，并索要主密码、多因素认证码，或要求客户通过伪造页面登录。LastPass 强调，公司任何人都不会索要主密码，客户应只信任官方支持渠道。

对于意外接到的电话、收到的电子邮件或索取敏感信息的请求，客户可以通过已知的 LastPass 支持渠道核实，而不是使用消息中的链接或电话号码。密码库未受影响这一结论，并不意味着就必须更改密码库中存储的每一个密码。不过，如果已在可疑页面上输入信息，则应通过官方应用更换主密码及受影响账户的凭证。

此次事件并非 LastPass 核心密码管理器基础设施遭到直接攻破，而是有人使用从 Klue 窃取的集成令牌，访问了 Salesforce 中的客户数据。公司未公布可核实的受影响人数或记录总数。数量未披露，并不意味着事件没有影响；这只意味着公开来源未提供可靠的总数。

已核实的结论是：Klue 持有的 OAuth 令牌遭到获取；Salesforce 中的姓名、电话号码、电子邮箱地址、实体地址、支持工单和销售数据被访问；相关令牌已轮换，对 Klue 的访问已停止。LastPass 的产品、基础设施和密码库未受影响，也没有证据表明 Gong 数据被访问。确切的访问时间、受影响人数、记录数量以及各工单的内容仍未披露。