Un token uitat din 2022, 195 de companii compromise: anatomia breach-ului Klue
Pe 12 iunie 2026, Klue — o companie din Vancouver care oferă inteligență competitivă — a detectat o intruziune. A dezvăluit-o public câteva zile mai târziu. Cauza-rădăcină, stabilită în investigația condusă de CrowdStrike, e genul de detaliu pe care îl citești de două ori: un GitHub Personal Access Token emis în 2022 unui terț, pentru un pilot limitat. Pilotul s-a încheiat. Token-ul a rămas activ. Patru ani.
Ce a urmat e adevărata lecție. Klue nu păstra doar datele clienților — păstra token-urile OAuth cu care clienții își conectaseră propriile cloud-uri. Atacatorii au folosit acele token-uri ca să extragă date direct din infrastructura clienților. Grupul de extorcare Icarus a revendicat atacul și susține că ar fi 195 de companii afectate.
Cine a fost lovit — și de ce e incomod
Printre clienții care au confirmat public că au fost afectați: Gong, Jamf, HackerOne, Huntress, Insurity, LastPass, OneTrust, Recorded Future, Snyk, Sprout Social și Tanium. Cifra de 195 e revendicarea atacatorilor, nu una confirmată independent.
Uită-te încă o dată la listă. LastPass — manager de parole. HackerOne — platformă de bug bounty. Snyk — securitatea codului. Recorded Future — threat intelligence. Tanium, Huntress — securitate enterprise. Astea nu sunt companii neglijente. Sunt organizații care fac securitate ca meserie.
Concluzia nu e „nimeni nu e în siguranță", care nu ajută pe nimeni. Concluzia e mai precisă și mai utilă: postura ta de securitate nu se oprește la marginea infrastructurii tale. Poți face totul bine și tot să fii compromis prin igiena unui furnizor.
Cele trei greșeli, în ordine
- ▸Credențial fără ciclu de viață: un token emis pentru un pilot temporar n-a avut niciodată o dată de expirare și nimeni nu l-a revocat la final. Un secret fără dată de moarte e o datorie care crește tăcut.
- ▸Concentrare de token-uri: Klue ținea cheile OAuth către cloud-urile clienților. Asta transformă un furnizor obișnuit într-o țintă de mare valoare — compromiți unul, ajungi la 195. Atacatorii nu au spart 195 de companii; au spart una.
- ▸Rază de acțiune prea largă: un token de acces la repository-uri a dus, prin înlănțuire, la date de client. Fiecare credențial ar trebui să poată face exact atât cât îi trebuie, nu tot ce s-ar putea.
Partea urâtă: extorcarea nu se termină cu un singur grup
După dezvăluire, Klue a comunicat că Icarus i-ar fi spus că datele furate sunt șterse — o afirmație a atacatorilor, imposibil de verificat, și exact genul de promisiune pe care nu ai cum s-o pui la bancă. Între timp a apărut un al doilea grup, care a început să extorcheze direct clienții Klue și a publicat propria listă de companii afectate.
Asta e realitatea extorcării moderne: datele odată ieșite circulă. „Plătim și dispare problema" nu e o strategie — e o presupunere pe care al doilea grup tocmai a demontat-o.
Ce faci concret, mâine dimineață
- ▸Inventariază-ți integrările, nu doar serverele: fiecare aplicație SaaS conectată la cloud-ul tău, fiecare token OAuth activ, fiecare cheie API dată vreodată unui terț. Nu poți revoca ce nu știi că există.
- ▸Dă dată de expirare fiecărui secret: token-urile fără expirare sunt implicite periculoase. Dacă un furnizor cere acces „temporar", scrie-ți în calendar ziua revocării — pilotul se termină, accesul nu.
- ▸Întreabă-ți furnizorii ce chei ale tale dețin și unde le țin. E o întrebare corectă de due diligence, iar refuzul de a răspunde e el însuși un răspuns.
- ▸Privilegii minime, mereu: un token de citire pentru repo-uri nu are ce căuta pe un traseu care ajunge la date de clienți. Rază mică = explozie mică.
- ▸Presupune că vei fi lovit prin altcineva: monitorizează, loghează și pregătește-ți planul de răspuns pentru scenariul „furnizorul meu a fost compromis", nu doar „eu am fost compromis".
Începe cu ce rulezi de fapt
Awarely Monitor îți importă inventarul de active (SBOM, package.json, requirements.txt), confirmă potrivirile pe versiune când datele upstream permit și marchează separat rezultatele la nivel de produs pentru verificare manuală. Vizibilitatea începe cu a ști ce ai.