El mes pasado, unos atacantes utilizaron credenciales robadas para hackear Klue, proveedor de software como servicio (SaaS) de inteligencia competitiva. Sin embargo, al parecer, los orígenes del ataque se remontan a cuatro años antes.
ejecutivos de Klue dijo que en 2022, la empresa con sede en Vancouver emitió una credencial a un tercero no identificado para un programa piloto limitado. investigación Posteriormente, Crowdstrike reveló que la credencial era un token de acceso personal (PAT) de GitHub, que permite a los desarrolladores acceder a los repositorios de desarrollo de software.
Cuando finalizó el programa piloto, el token permaneció activo porque nadie lo revocó. Estuvo allí, invisible para los clientes que le dieron a Klue acceso a sus secretos más íntimos. Era una bomba de relojería.
La investigación no determinó cómo Icarus (un grupo nuevo, activo solo desde abril de 2026) obtuvo el PAT, pero el 11 de junio utilizó el token para introducir código nuevo en la capa de servicio de integración de Klue.
En esa capa es donde Klue extrae datos de los sistemas de sus clientes, alojados en servicios como Salesforce y Gong. Utiliza estos datos para realizar análisis de inteligencia competitiva para sus clientes, lo que permite a sus vendedores afrontar las negociaciones mejor preparados.
La actualización del código extrajo los tokens OAuth (tokens de sesión persistente para acceso repetido sin contraseña) que Klue conservaba para acceder a los datos de sus clientes en esos sistemas. Posteriormente, los atacantes utilizaron esos tokens para obtener datos de las instancias de Salesforce y Gong de dichos clientes.
Los tokens OAuth como método para blanquear la legitimidad
El ataque no fue fácil de detectar porque el uso de tokens OAuth robados no parece una intrusión hasta que se revocan dichos tokens. Icarus realizó llamadas REST directas contra instancias de Salesforce y Gong, tal como lo haría cualquier cliente legítimo.
Fue Salesforce quien informó a Klue de lo sucedido el 12 de junio, lo que llevó a la empresa de inteligencia competitiva a rotar sus tokens OAuth.
La lista de víctimas confirmadas incluía a HackerOne, Huntress, Jamf, Recorded Future, Snyk y LastPass. Parece un directorio de empresas cuyo trabajo consiste precisamente en aconsejar a otras empresas sobre cómo gestionar este riesgo.
El impacto en las víctimas está documentado en toda la web, ya que tuvieron que publicar actualizaciones sobre cómo les había afectado el problema de Klue. Salesforce confirmó que el incidente se “limitó a la conexión de la aplicación de Klue y no se originó por una vulnerabilidad dentro de la plataforma de Salesforce”, lo que sitúa la responsabilidad de la monitorización directamente en el cliente que autorizó la integración. También dijo “Las organizaciones no podrán conectarse a Salesforce a través de esta aplicación hasta nuevo aviso”. Gong dijo lo mismoY también Tanium Pista bloqueada.
Ultimo pase revelada Se descubrió que los nombres de los clientes, las direcciones de correo electrónico, los números de teléfono, las direcciones físicas, los detalles de los casos de soporte y los datos relacionados con las ventas habían quedado expuestos. La empresa suspendió el acceso de todos los empleados a Klue.
Cazadora Se realizaron actualizaciones detalladasExplicando que Ícaro había publicado una gran cantidad de datos en su sitio web de la dark web y había amenazado con publicar más información, citando a más de 200 empresas víctimas. Identificó que el sitio de la filtración de datos estaba alojado en Rusia.
Ninguna de las víctimas posteriores tenía forma plausible de saber qué ocurría dentro de la infraestructura de Klue; presumiblemente, sus programas de gestión de riesgos de proveedores habían aprobado la integración y no habían intervenido. Para muchos equipos de seguridad, las auditorías de empresas SaaS parecen ser un asunto puntual. Una vez que el proveedor ha completado el cuestionario y ha sido aprobado, se da por concluido el proceso.
Por qué esto hace que la norma ISO 27001 sea más valiosa
Los controles de gestión de proveedores y acceso de la norma ISO 27001 están diseñados para proteger contra los fallos que explotó Ícaro.
El control A.5.16 exige que las organizaciones gestionen el ciclo de vida completo de cada identidad, desde su aprovisionamiento hasta su desaprovisionamiento, mientras que el A.5.18 extiende la misma disciplina a las credenciales de autenticación, exigiendo calendarios de rotación documentados para las claves y tokens de API.
Aplicadas de forma consistente, cualquiera de estas medidas habría revelado un PAT de cuatro años mucho antes que Ícaro. Los problemas actuales de Klue son un ejemplo clásico de las consecuencias que conlleva no aplicar estos principios a largo plazo.
Pero eso es algo que Klue podría haber hecho internamente, no algo que sus clientes puedan controlar. ¿Qué puede hacer una empresa para protegerse de los errores de un proveedor?
Los controles A.5.19 a A.5.23 rigen la relación con el proveedor. El control A.5.22 exige que las organizaciones supervisen, revisen y auditen periódicamente los servicios de los proveedores.
El apartado A.5.21 va más allá en esta obligación, al exigir que los requisitos de seguridad se extiendan a los subprocesadores y que el uso que hacen los subprocesadores quede registrado en los acuerdos con los proveedores.
Un sistema de gestión de seguridad de la información pone en práctica estas cláusulas, convirtiendo un cuestionario anual en un registro en tiempo real de integraciones, credenciales y concesiones de tokens. Obliga a iniciar el proceso de deshabilitación cuando finaliza un programa piloto. Además, proporciona a los responsables de cumplimiento un registro de auditoría para demostrar que tanto los proveedores en los que confían como sus subcontratistas reciben la misma supervisión continua que los proveedores directos con los que contratan.
Cabe destacar que Klue ha tomado varias medidas para evitar que esto vuelva a suceder, incluyendo la prohibición del uso de PAT y la migración a diferentes mecanismos de autenticación. Ha mejorado su sistema de registro de auditoría e implementado un control más estricto sobre sus procesos de desarrollo de software. Más vale tarde que nunca.
Un SGSI (Sistema de Gestión de Seguridad de la Información) es la forma en que los responsables de cumplimiento se aseguran de no convertirse en noticia, ya sea como objetivo directo de una filtración de datos o como cliente de una víctima comprometida.
Amplíe su conocimiento
Blog: Cómo el ransomware se convirtió en un problema de resiliencia empresarial
Blog: Cuidado con la brecha: El incidente de Salesforce y la naturaleza cambiante del riesgo en la nube.
