Salesforce ha disattivato l'integrazione con l'applicazione Klue, piattaforma di market intelligence, dopo che l'abuso dei suoi token OAuth ha portato al furto di dati dai sistemi CRM di numerose aziende clienti. Dietro l'attacco c'è un gruppo estorsivo di recente comparsa che si fa chiamare Icarus, attivo da fine aprile 2026, che ha rivendicato pubblicamente l'operazione e sta facendo pressione sulle vittime tramite email di ricatto e un sito di leak.
Una credenziale dimenticata come porta d'ingresso
La dinamica ricostruita dagli investigatori è emblematica dei rischi legati al debito tecnico. Gli aggressori sono entrati nell'infrastruttura di backend di Klue l'11 giugno utilizzando una credenziale API dormiente da tempo, originariamente creata per il prototipo di un'integrazione di terze parti poi abbandonata. Quella chiave, mai revocata, ha aperto la strada ai token OAuth che collegavano gli ambienti dei clienti, e in particolare le loro istanze Salesforce.
Con quei token gli attaccanti hanno potuto autenticarsi verso i CRM delle organizzazioni senza bisogno di violare direttamente Salesforce: per la piattaforma le richieste arrivavano da un'applicazione legittima e autorizzata. È il meccanismo tipico degli attacchi alla supply chain, in cui l'anello debole non è il bersaglio finale ma un fornitore connesso ai suoi sistemi.
Le vittime e i dati sottratti
L'elenco delle organizzazioni colpite è cresciuto rapidamente e comprende diverse aziende del settore cybersecurity, tra cui Huntress, Recorded Future, Tanium e Jamf, oltre a realtà come Sprout Social, Gong e Insurity. I dati esfiltrati riguardano principalmente contatti commerciali, comunicazioni di vendita, informazioni sui prezzi e note relative alle trattative conservate nelle istanze Salesforce dei clienti.
Huntress ha attribuito l'attacco a Icarus sulla base di identificativi Session Messenger trovati sia nelle email estorsive sia sul sito di leak del gruppo nel dark web. Pur trattandosi di dati prevalentemente di natura commerciale e non di credenziali tecniche, le informazioni sottratte hanno un valore concreto per campagne di phishing mirato e per ulteriori tentativi di estorsione.
La lezione per le aziende
Il caso Klue ribadisce due punti spesso trascurati. Il primo è la necessità di censire e revocare le credenziali e i token non più utilizzati: una chiave API dimenticata può restare valida per anni e diventare un punto cieco perfetto per un attaccante. Il secondo è la fragilità delle integrazioni OAuth, che concedono accessi ampi e persistenti agli ambienti aziendali: monitorare quali applicazioni di terze parti hanno accesso ai propri dati, e con quali permessi, è ormai una componente essenziale della sicurezza, non un dettaglio amministrativo.
