В истории со взломом платформы конкурентной разведки Klue произошел неожиданный поворот. Вымогательская группировка Icarus, похитившая данные клиентов компании, судя по всему, тоже стала жертвой хакерской атаки. Теперь пострадавших пытаются шантажировать другие хакеры.

Как мы рассказывали ранее, атака на Klue произошла 11–12 июня 2026 года. Тогда хакеры проникли в инфраструктуру компании, использовав действующие учетные данные от устаревшего сервиса интеграции, созданного для старого прототипа.

Получив доступ к системам Klue, злоумышленники внедрили вредоносный код, похитили OAuth-токены клиентов и создали новые. Эти токены позволили хакерам напрямую подключаться к сторонним платформам, с которыми интегрировался сервис Klue Battlecards, в том числе к Salesforce.

Представители Klue объясняли, что скомпрометированные учетные данные были созданы еще в 2022 году и переданы сторонней организации для тестирования некоего пилотного проекта. В компании не объяснили, для чего предназначался этот проект, кто получил доступ к данным и почему они не были отозваны после завершения тестирования. Также осталось неясным, произошла ли утечка на стороне самой Klue или неназванного стороннего подрядчика.

В настоящее время количество организаций, публично подтвердивших компрометацию своих Salesforce-инстансов из-за взлома Klue, достигло двадцати. Так, ранее сообщалось, что инцидент затронул HackerOne, Huntress, Jamf, OneTrust, Recorded Future, Snyk, Tanium, Insurity, Sprout Social, а также платформу Gong. Потом к списку жертв добавились менеджер паролей LastPass и ИБ-компания BeyondTrust.

Теперь о компрометации также сообщили AlertMedia, Blackbaud, Camunda, Cresta, Deel, Lucanet, Link11 и Tines.

При этом в СМИ не раз отмечали, что не все клиенты Klue пострадали от утечки данных. К примеру, представители Autodesk сообщили, что не использовали интеграцию с Salesforce.

Тем временем, по данным издания TechCrunch, в конце прошлой недели представители Klue в частном порядке уведомили своих клиентов о том, что ведут переговоры с хак-группой Icarus, которая взяла на себя ответственность за этот инцидент. По данным компании, вымогатели якобы уже начали удалять украденную информацию. Отмечается, что сайт группировки в даркнете недоступен уже несколько дней, и неизвестно, связано ли это с переговорами, и заплатила ли Klue выкуп злоумышленникам.

При этом ситуация осложнилась появлением второй хак-группы, чье название не раскрывается. Ее участники утверждают, что взломали Icarus и получили доступ к серверу, где хранились данные, украденные у клиентов Klue. По словам хакеров, один из операторов Icarus — подросток, проживающий в Великобритании или соседней стране — допустил некую ошибку, из-за чего инфраструктура группы была взломана.

Новые вымогатели уже опубликовали в даркнете список пострадавших компаний и заявили, что инцидент затронул 195 клиентов Klue. В свою очередь участники Icarus уверяют, что в руки «конкурентов» попали только образцы данных нескольких организаций, а не полный дамп.

По информации журналистов, представители Klue рекомендовали клиентам не платить второй группировке. Вместо этого в компании посоветовали пострадавшим запросить у вымогателей случайную выборку данных, чтобы проверить, действительно ли те располагают заявленной информацией.