Salesforce tạm dừng tích hợp ứng dụng Klue sau sự cố rò rỉ dữ liệu qua OAuth token

Salesforce vừa thông báo tạm dừng tích hợp với ứng dụng Klue Battlecards trên nền tảng của mình sau khi phát hiện các hoạt động bất thường liên quan đến công ty tình báo cạnh tranh này vào ngày 11/6/2026. Theo Salesforce, các tổ chức sẽ không thể kết nối với Salesforce thông qua ứng dụng này cho đến khi có thông báo mới.

Đại diện Salesforce khẳng định sự cố này chỉ giới hạn ở kết nối của ứng dụng Klue và không xuất phát từ lỗ hổng bảo mật bên trong nền tảng Salesforce. Nhóm tin tặc đứng sau vụ tấn công, tự xưng là Icarus, đã xâm nhập vào hạ tầng của Klue và đánh cắp dữ liệu từ nhiều khách hàng, trong đó có công ty an ninh mạng Huntress.

Theo CEO Jason Smith của Klue, kẻ tấn công đã truy cập vào một thông tin xác thực (credential) cũ không còn sử dụng nhưng vẫn đang hoạt động. Từ đó, chúng chiếm đoạt các OAuth token dùng để kết nối Klue với các nền tảng bên thứ ba như Salesforce. Kẻ tấn công đã đẩy một bản cập nhật mã độc để thu thập các token này, cho phép chúng truy vấn trực tiếp vào CRM của khách hàng mà không cần mật khẩu hay mã xác thực đa yếu tố (MFA).

Các chuyên gia từ ReliaQuest cho biết, kẻ tấn công đã sử dụng các script Python tự động để trích xuất dữ liệu hàng loạt thông qua Salesforce REST API trong suốt nhiều giờ. Phương thức này tương tự như các chiến dịch tấn công vào chuỗi cung ứng SaaS gần đây, nơi tin tặc nhắm vào các nhà cung cấp dịch vụ để tiếp cận hàng loạt môi trường doanh nghiệp cùng lúc.

Nhiều công ty lớn đã xác nhận bị ảnh hưởng bởi sự cố này, bao gồm Jamf, Recorded Future, Tanium, Gong, Insurity và Sprout Social. Hầu hết dữ liệu bị rò rỉ là thông tin liên hệ kinh doanh, hợp đồng và các bản ghi CRM, trong khi các dữ liệu kỹ thuật nhạy cảm hoặc mật khẩu vẫn được đảm bảo an toàn.

Các chuyên gia bảo mật cảnh báo rằng đây là hồi chuông cảnh tỉnh về việc quản lý các danh tính phi con người (non-human identities) trong các tích hợp bên thứ ba. Các token này thường có quyền truy cập rộng rãi nhưng lại ít được giám sát chặt chẽ hơn so với tài khoản nhân viên, tạo ra một khoảng trống bảo mật mà tin tặc dễ dàng khai thác để thực hiện các cuộc tấn công quy mô lớn.

Nguồn tham khảo: The Hacker News