Le vol de jetons OAuth à Klue ouvre la porte à l'extorsion contre les clients de Salesforce

Un échec dans l'intégration de la plate-forme de renseignement du marché de Klue a permis aux attaquants de voler les données de Salesforce CRM et de lancer une campagne d'extorsion contre les clients touchés; les enquêtes publiques des sociétés de cybersécurité telles que ReliaQuest et Huntress ont confirmé la principale technique utilisée: le vol et l'utilisation des jetons OAuth pour consulter les API Salesforce au nom des clients.

L'attaque profite d'une faiblesse classique dans les chaînes de confiance tierces : au lieu de compromettre les comptes individuels au sein du CRM, les attaquants sont entrés par l'intégration de Klue, ont enlevé les jetons OAuth et les ont utilisés pour faire des consultations automatisées aux paramètres REST de Salesforce - d'abord cartographier les objets exposés puis télécharger des enregistrements spécifiques - pendant les fenêtres qui, dans certains cas, ont varié de quelques heures à des éclats intenses de consultations.

La leçon technique est claire : la possession d'un jeton OAuth équivaut, dans de nombreux scénarios, à la possession d'une clé maîtresse temporaire. Les intégrations avec des permissions étendues et des références actives persistantes représentent un risque critique si le fournisseur est engagé ou un code malveillant est déployé à partir de son environnement.

L'acteur qui revendique la responsabilité de l'extorsion est identifié comme « Icarus », un groupe relativement nouveau qui a commencé à publier des victimes et à envoyer des messages de demande de sauvetage; cela fait du vol de données une menace directe pour la réputation et la sécurité commerciale des organisations concernées, en plus du risque d'exposition des contacts, des communications commerciales et des citations que Huntress mentionne dans son rapport. Pour les détails techniques et la réponse officielle de Salesforce, vous pouvez voir la note de statut de la plateforme à État de la force de vente, et l'analyse des activités malveillantes et des indicateurs sont disponibles dans les rapports de ReliaQuest et Huntress ReliaQuest et Chasseur.

Que devraient faire les équipes de sécurité et de TI maintenant: vérifier et faire pivoter tous les jetons OAuth liés aux intégrations de Klue et aux produits similaires; terminer les sessions actives et forcer une nouvelle authentification; examiner les journaux API et IMS à la recherche d'activités vers les paramètres REST qui diffusent des données; et rechercher l'activité à partir des adresses IP associées à l'attaque, comme 138.226.246.94, 212.86.125.24, 213.11.148.90 et 94.154.32.160. Ces mesures réduisent le champ des abus et aident à reconstruire la chaîne d'événements pour obtenir des rapports d'intervention et de réglementation.

Il ne suffit pas de réagir: il est nécessaire de resserrer le modèle de confiance aux fournisseurs. Revoir le principe du privilège inférieur dans les champs OAuth, fixer un court terme pour les jetons et les titres de service, mettre en place une rotation automatique dans la mesure du possible et appliquer des contrôles d'accès conditionnels (blocage de géolocalisation, exigences de PI, évaluation des risques de session). De plus, ils exigent des fournisseurs qu'ils sécurisent les processus de déploiement et la surveillance de l'intégrité du code afin de réduire le risque d'une mise à jour malveillante des justificatifs de vol.

D'un point de vue opérationnel, les organisations concernées devraient activer leur plan d'intervention en cas d'incident : conserver les éléments de preuve, assurer la coordination avec le fournisseur (Klue), Salesforce et leurs équipes juridiques, préparer les communications aux clients et aux superviseurs réglementaires, le cas échéant, et envisager le recrutement d'interventions médico-légales externes pour évaluer l'ampleur réelle de l'exfiltration.

Détection et prévention à long terme: les équipes de sécurité devraient initier des alertes qui détectent les modèles de reconnaissance des métadonnées dans les API (liste inhabituelle d'objets, rafales de requêtes automatisées), utiliser des tests d'intrusion et de simulation d'attaque pour valider les contrôles (simulation de rupture et d'attaque) et renforcer la télémétrie des intégrations SaaS de sorte que toute utilisation des identifiants tiers soit rapidement détectable.

Enfin, ne sous-estimez pas le risque de réputation et la possibilité d'extorsion : tenir un registre des communications de l'acteur, ne pas négocier sans avis juridique et mettre en place des mesures d'atténuation techniques et de communication. Afin de tenir à jour et de télécharger les indicateurs d'engagement du public, examiner les guides d'analyse et de réponse des fournisseurs de renseignements tels que les liens mentionnés ci-dessus et les alertes officielles du service CRM.