Klue供应链攻击潜伏四年:200家企业OAuth令牌与Salesforce数据集体泄露

Klue 是面向 B2B 的市场情报 SaaS 提供商,其与 Salesforce 等下游 CRM 工具深度集成。2026 年 6 月 11 日至 24 日发生的供应链攻击,让 Klue 的客户生态承受了一次系统性冲击。攻击者利用 Klue 集成基础设施中一只长期未使用但仍处于激活状态的凭证推送代码更新,从而收割客户用于连接自有系统的 OAuth 令牌。借助这些令牌,攻击者以 Klue 的身份在客户 CRM 环境中直接查询敏感业务数据。这种攻击路径的隐蔽性远超传统的凭据复用或暴力破解,凸显供应链治理的紧迫性。

本轮攻击横扫近 200 家企业,Huntress、Recorded Future、Tanium、Jamf 等一线网络安全厂商悉数在内。攻击者盗取业务联系人与销售数据,随后在 Tor 匿名网络上架设泄密站点进行敲诈。更复杂的是,出现第二次独立敲诈行动,另一个未授权方宣称也拿到了相同数据并发起独立勒索,这意味着原始攻击者本身很可能被他人接管。事件显示供应链攻击不再局限于单一敲诈链,而是变成多方接力的资源争夺。这种攻击者也被攻击的结构,使受害企业面临的谈判对手变得更加复杂。

Klue 在事件后强调,客户面向产品、基础设施与敏感工程数据未被波及,亦无密码或支付卡数据泄露。但本次事件的关键教训在于,任何长期处于激活状态、却不再被主动使用的集成凭证,都应被视为高优先级治理对象。同时,这只陈年凭证暴露了 SaaS 集成信任链的脆弱性:一个上游供应商的历史凭据,可能在四年后突然成为对下游 200 家企业的攻击入口。供应商与客户必须共同审视 OAuth 令牌的轮换策略,缩短闲置凭据生命周期。事件再次提醒从业者重新审视集成生态的安全护栏设计。

此次事件再一次证明,供应链攻击的边界正从软件包蔓延到集成凭据。SOC 团队需要将第三方 SaaS 连接纳入统一身份治理视图,任何长期闲置的 OAuth 凭据都应被视为攻击面入口,等待下一个被点燃的时机。更进一步,事件提示行业思考一个根本问题:在 SaaS 化趋势不可逆的前提下,任何单一供应商都可能成为跨多家客户系统的攻击踏板。推动企业加速部署防护体系,构建面向集成的统一身份治理框架,正在成为下一阶段安全建设的关键任务,推动企业级安全进入新阶段。