🔐 اختراق Klue التاريخي: سقوط حراس الأمن السيبراني

عندما يفتح توكن منسي أبواب الجحيم

في 18 يونيو 2026، لاحظ فريق الأمن في Huntress شيئًا غير عادي في بيئة Salesforce الخاصة بهم. ما بدا في البداية وكأنه شذوذ بسيط، تحول بسرعة إلى واحدة من أكثر هجمات سلسلة التوريد تعقيدًا في تاريخ صناعة الأمن السيبراني. تبدأ القصة مع Klue، وهي منصة استخبارات تنافسية تستخدمها مئات الشركات الكبرى لتحليل بيانات السوق وإدارة معلومات العملاء.

حصل القراصنة على وصول إلى البنية التحتية لـ Klue باستخدام "بيانات اعتماد قديمة" تمت مشاركتها مع بائع منذ سنوات ولم يتم إلغاؤها مطلقًا. سمحت بيانات الاعتماد هذه، التي كانت على الأرجح Personal Access Token (PAT) من GitHub، للمهاجمين بالتسلل إلى أنظمة Klue الداخلية وسرقة رموز OAuth التي استخدمها العملاء لربط Klue بـ Salesforce ومنصات الطرف الثالث الأخرى.

كانت الآثار مذهلة. باستخدام رموز OAuth المسروقة هذه، تمكن المهاجمون من انتحال شخصية Klue والوصول إلى بيئات Salesforce لمئات المؤسسات دون تشغيل تنبيهات أمنية تقليدية. لم يكن هذا هجوم القوة الغاشمة أو استغلالًا معقدًا لثغرة أمنية يوم الصفر. كان شيئًا أكثر خطورة: تسليح بيانات اعتماد الوصول الشرعية التي نُسيت في فوضى العمليات اليومية.

تكتيكات Icarus: من الوصول الأولي إلى استخراج البيانات

أظهرت مجموعة Icarus، التي تبنت مسؤولية هذا الهجوم، تخطيطًا وتنفيذًا ملحوظًا. بعد الحصول على الوصول الأولي إلى Klue من خلال بيانات الاعتماد القديمة، دفع المهاجمون بتحديث كود ضار إلى بيئة Klue. صُمم هذا الكود خصيصًا لالتقاط رموز OAuth المستخدمة لاتصالات منصات الطرف الثالث.

وفقًا لباحثي الأمن، تكشفت الهجمة على مراحل متعددة منظمة بعناية. أولاً، أجرى المهاجمون استطلاعًا لتحديد بيئات العملاء التي ستحقق أكثر البيانات قيمة. ثم، باستخدام نصوص Python تلقائية، بدأوا في الاستعلام عن Salesforce REST API للمؤسسات المستهدفة. استمر النشاط لمدة 24 ساعة تقريبًا قبل اكتشافه واحتوائه.

خلال هذه النافذة، وصل القراصنة إلى بيانات أعمال حساسة بما في ذلك جهات اتصال العملاء والاتصالات البيعية ومعلومات التسعير وملاحظات الفرص. ما يجعل هذا مثيرًا للقلق بشكل خاص هو أن كل هذا النشاط بدا مشروعًا تمامًا من وجهة نظر تقنية. تمت استدعاءات API باستخدام رموز OAuth صالحة، وجاءت من نطاقات IP متوقعة مرتبطة بـ Klue، واتبعت أنماط استخدام عادية - على الأقل في البداية.

الضحايا: الشركات التي تُعلّم الآخرين عن الأمن

لا يمكن المبالغة في مفارقة هذا الحادث. ضحايا هذا الهجوم هم شركات تُعلّم الآخرين عن أفضل ممارسات الأمن السيبراني. من بين الضحايا المؤكدين:

Huntress كانت شفافة بشكل خاص بشأن الحادث، ونشرت تحليلًا تقنيًا مفصلاً. كمزود رائد في Managed Detection & Response (MDR)، تساعد Huntress آلاف المؤسسات على اكتشاف التهديدات السيبرانية والاستجابة لها. يُظهر قرارهم بالاعتراف علنًا بالاختراق ومشاركة معلومات مفصلة شفافية رائدة في الصناعة.

HackerOne، أكبر منصة مكافآت الأخطاء في العالم حيث يساعد القراصنة الأخلاقيون الشركات في العثور على الثغرات، أكدت أيضًا تأثرها. تسهّل المنصة أكثر من 100 مليون دولار من مدفوعات المكافآت سنويًا وتعمل كجسر حيوي بين مجتمع أبحاث الأمن والمؤسسات.

Jamf متخصصة في إدارة وأمان أجهزة Apple للمؤسسات. مع أكثر من 70,000 عميل عالميًا، تساعد Jamf المؤسسات على تأمين ملايين أجهزة Mac وiPad وiPhone وApple TV.

Recorded Future هي رائدة في استخبارات التهديدات تساعد المؤسسات على فهم التهديدات السيبرانية والتخفيف منها. تجمع منصتهم وتحلل البيانات من مئات المصادر لتوفير استخبارات قابلة للتنفيذ.

Tanium توفر حلول إدارة وأمان نقاط النهاية لبعض المؤسسات الأكثر وعيًا بالأمن في العالم، بما في ذلك وكالات حكومية أمريكية متعددة وشركات Fortune 100.

تشمل الضحايا الإضافيون Snyk (منصة DevSecOps)، وOneTrust (رائد الخصوصية والحوكمة)، وGong (استخبارات الإيرادات)، وSprout Social (إدارة وسائل التواصل الاجتماعي)، وInsurity (برامج التأمين). يُظهر نطاق الشركات المتأثرة - التي تشمل الأمن السيبراني وSaaS وبرامج المؤسسات - حجم هذا الهجوم على سلسلة التوريد.

لماذا هذا الهجوم مختلف؟

حادثة Klue جزء من موجة أوسع من هجمات قائمة على OAuth شهدناها في 2025 و2026. سابقًا، وقعت منصات مثل Salesloft Drift وGainsight ضحية لهجمات مماثلة نفذتها مجموعات مثل ShinyHunters. ومع ذلك، يبرز اختراق Klue لعدة أسباب حاسمة.

أولاً، استهداف شركات الأمن السيبراني يمثل تصعيدًا جريئًا. تعمل هذه المؤسسات عادةً في طليعة الأمن، وتستخدم تقنيات متقدمة للكشف والاستجابة. حقيقة أن حتى هذه الشركات وقعت ضحية لهجوم سلسلة التوريد يُظهر تطور التهديدات الحديثة والثغرات المتأصلة في تكامل الطرف الثالث.

ثانيًا، تكشف منهجية الهجوم عن تطور في تكتيكات المهاجمين. بدلاً من محاولة اختراق كل مؤسسة مستهدفة بشكل فردي، حددت مجموعة Icarus نقطة تكامل عالية القيمة واستغلتها للوصول إلى مئات الأهداف في وقت واحد. هذا النهج "من واحد إلى كثير" يزيد بشكل كبير من العائد على الاستثمار للمهاجمين مع تقليل تعرضهم للكشف.

ثالثًا، استخدام رموز OAuth الشرعية يعني أن النشاط الخبيث اختلط بالعمليات العادية. أدوات الأمن التقليدية التي تبحث عن محاولات مصادقة مشبوهة أو هجمات القوة الغاشمة أو استغلال الثغرات المعروفة لن ترى شيئًا مريبًا. لم يكن المهاجمون يقتحمون من الباب الأمامي - كانوا يستخدمون مفتاحًا صالحًا نُسي في القفل.

استجابة Salesforce وKlue: متأخرة لكن ضرورية

بعد اكتشاف الاختراق، تصرفت Salesforce بسرعة لتعطيل تكامل تطبيق Klue على منصتهم. منع هذا الإجراء المزيد من الوصول غير المصرح به، لكن الضرر كان قد حدث بالفعل. أصدر Jason Smith، الرئيس التنفيذي لـ Klue، بيانًا: "استخدم المهاجم ذلك الوصول للحصول على رموز OAuth المستخدمة لربط Klue بمنصات طرف ثالث معينة بما في ذلك Salesforce، ووصل لاحقًا إلى البيانات داخل عدد من بيئات العملاء المتصلة."

أكدت Klue في بيانها أنها اتخذت إجراءات فورية لحماية العملاء وتتعاون مع سلطات إنفاذ القانون وخبراء الأمن السيبراني. ومع ذلك، لم تكشف الشركة حتى الآن عن العدد الدقيق للعملاء المتضررين. ما هو واضح هو أن Klue لديها مئات من عملاء المؤسسات وأن التقارير تشير إلى أن أكثر من 700 مؤسسة قد تعرضت لهذا الهجوم.

تحليل تكين: لماذا أصبحت بيانات الاعتماد القديمة كابوسًا أمنيًا؟

يقدم هذا الهجوم درسًا حاسمًا لجميع المؤسسات: إدارة دورة حياة بيانات الاعتماد ليست اختيارية - إنها ضرورية. بناءً على التحليل الأمني، كانت بيانات الاعتماد المنسية المستخدمة في هذا الهجوم على الأرجح GitHub Personal Access Token (PAT) تمت مشاركته مع بائع منذ سنوات ولم يُلغ أبدًا.

يتكرر هذا السيناريو في العديد من المؤسسات. ينشئ المطورون، في محاولة للتحرك بسرعة، بيانات اعتماد ويشاركونها مع البائعين أو الأدوات الخارجية. لكن نادرًا ما توجد عملية منهجية لإلغاء هذه بيانات الاعتماد عند انتهاء المشروع أو عند تغيير البائعين. النتيجة؟ قنبلة أمنية موقوتة قد تنفجر بعد سنوات.

مشهد التهديدات: العصر الجديد من هجمات OAuth

اختراق Klue مثال على اتجاه خطير شهدناه على مدى العامين الماضيين. أدرك المهاجمون أنه بدلاً من اختراق شركة مباشرة، يمكنهم استهداف البائعين وتكاملات الطرف الثالث للوصول إلى البيانات الحساسة. يوفر هذا النهج عدة مزايا للمهاجمين:

• قابلية التوسع: باختراق بائع واحد، يمكن للمهاجمين الوصول إلى مئات أو آلاف المؤسسات في اتجاه مجرى النهر
• معدل اكتشاف أقل: عندما ينشأ النشاط الخبيث من بنية تحتية موثوقة للبائع باستخدام بيانات اعتماد شرعية، يبدو طبيعيًا تمامًا لأنظمة الأمن
• مظهر شرعي: استخدام رموز OAuth صالحة يعني أن حركة المرور تبدو شرعية تمامًا
• وصول مستمر: العديد من رموز OAuth ليس لها تاريخ انتهاء صلاحية

دروس أمنية للمؤسسات

يقدم هذا الحادث عدة دروس حاسمة للمؤسسات، بغض النظر عن صناعتها أو حجمها:

1. الثقة المعدومة لا يمكن أن تكون مجرد كلمة طنانة: يجب معاملة جميع التكاملات وتطبيقات الطرف الثالث بنفس مستوى الشك الذي ننظر به إلى مستخدم جديد. لا يجب أن يظل أي وصول غير مراقب أو غير مُصادق عليه.

2. النظافة الأمنية يجب أن تكون عادة، وليس مشروعًا: لا يمكن أن تكون إدارة بيانات الاعتماد ورموز OAuth جهدًا لمرة واحدة. يجب أن تصبح جزءًا من العمليات اليومية لفرق DevOps وSecOps.

3. الشفافية في الاختراقات مهمة: نهج Huntress في نشر معلومات مفصلة حول الهجوم يضع سابقة مهمة. هذه الشفافية تساعد الصناعة بأكملها على التعلم.

4. حتى بائعي الأمن عرضة للخطر: هذا الهجوم بمثابة تذكير متواضع أنه لا يمكن لأي مؤسسة، حتى تلك المتخصصة في الأمن السيبراني، أن تعتبر نفسها آمنة 100٪.

تعرف على Icarus: اللاعب الجديد في مشهد برامج الفدية

مجموعة Icarus، التي تبنت مسؤولية هذا الهجوم، تمثل لاعبًا جديدًا نسبيًا في مشهد برامج الفدية وابتزاز البيانات. على عكس مجموعات برامج الفدية المعروفة مثل LockBit أو BlackCat التي تشفر الأنظمة، يركز Icarus بشكل أساسي على سرقة البيانات والابتزاز من خلال التهديد بالإفصاح.

حدد محللو الأمن في Huntress بثقة عالية أن Icarus عملية جديدة استعارت من كتب اللعب للمجموعات السابقة مثل ShinyHunters، لكنها تعمل بتكتيكات مميزة. ما يميز Icarus هو استهدافهم لشركات الأمن السيبراني البارزة - وهي خطوة تولد اهتمامًا إعلاميًا كبيرًا وتزيد الضغط على الضحايا للدفع.

التأثير على الصناعة: الثقة تحت السؤال

أحد أهم عواقب هذا الهجوم هو تأثيره على الثقة في شركات الأمن السيبراني. عندما تصبح المؤسسات التي من المفترض أن تحمي الآخرين من التهديدات السيبرانية ضحايا بنفسها، فإن ذلك يثير أسئلة جدية حول معايير الأمن في الصناعة بأكملها.

ومع ذلك، من المهم إدراك أن هذا الهجوم لا يعكس بالضرورة ضعفًا في هذه الشركات المحددة. بل يُظهر التعقيد المتزايد لهجمات سلسلة التوريد والتحديات المتأصلة في تأمين تكاملات الطرف الثالث. حتى المؤسسات ذات أعلى معايير الأمن لا يمكنها حماية نفسها بالكامل من التهديدات الناشئة من البائعين وخدمات الطرف الثالث - إلا إذا اعتمدت نهجًا أكثر شمولاً لإدارة هذه العلاقات.

توصيات فورية لقادة الأمن (CISO)

إذا كنت CISO أو قائد أمن، فيجب أن يؤدي هذا الهجوم إلى تشغيل عدة إجراءات فورية:

1. فوري: تدقيق جميع منح OAuth النشطة
افحص كل تطبيق طرف ثالث متصل بـ Salesforce وMicrosoft 365 وGoogle Workspace وأنظمة حاسمة أخرى. هل كلها لا تزال ضرورية؟ ما الأذونات التي لديها؟

2. فوري: مراجعة سجلات الوصول إلى API
ابحث عن أنماط غير عادية في الوصول إلى API لأنظمة CRM والأعمال. انتبه بشكل خاص لاستخراج البيانات الضخمة في ساعات غير عادية أو من مواقع جغرافية غير متوقعة.

3. قصير المدى: تنفيذ مراقبة رموز OAuth
انشر أدوات يمكنها اكتشاف نشاط رموز OAuth المشبوه في الوقت الفعلي. يجب أن يشمل هذا اكتشاف الشذوذ لأنماط الوصول، وفحوصات الموقع الجغرافي، ومراقبة الحجم.

4. متوسط المدى: التخطيط لإدارة دورة حياة بيانات الاعتماد
أنشئ عملية منهجية لإنشاء وتدوير وإلغاء جميع بيانات اعتماد المؤسسة. يجب أن يشمل هذا مفاتيح API وحسابات الخدمة ورموز OAuth وأي شكل آخر من الوصول الآلي.

5. طويل المدى: خذ إدارة مخاطر البائعين على محمل الجد
نفذ برنامج إدارة مخاطر البائعين الشامل الذي يتضمن تقييمات أمنية منتظمة ومتطلبات أمنية تعاقدية ومراقبة مستمرة.

النظرة المستقبلية: تطور تهديدات OAuth

اختراق Klue جزء من اتجاه أكبر من المرجح أن يشتد في السنوات القادمة. نتوقع أن تزداد هجمات OAuth لعدة أسباب:

نمو نظام SaaS البيئي: تعتمد المؤسسات بشكل متزايد على عدد متزايد من تطبيقات SaaS، يتطلب كل منها تكاملات. كل تكامل يمثل سطح هجوم محتمل.

تعقيد إدارة OAuth: تفتقر العديد من المؤسسات إلى رؤية كافية في عدد منح OAuth النشطة لديها. هذا النقص في الرؤية يخلق فرصة ذهبية للمهاجمين.

عائد استثمار مرتفع للمهاجمين: بهجوم ناجح واحد على بائع، يمكن للمهاجمين الوصول إلى مئات أو آلاف المؤسسات. هذه القابلية للتوسع تجعل هجمات سلسلة التوريد جذابة للغاية.

نقاط ضعف أمان البائعين: لسوء الحظ، يفتقر العديد من البائعين الأصغر إلى الموارد أو الخبرة لممارسات أمنية قوية، ومع ذلك لديهم وصول إلى أنظمة حساسة للعملاء الكبار.

الحلول المبتكرة: كيف تتطور الصناعة

لحسن الحظ، تقوم صناعة الأمن السيبراني بتطوير حلول جديدة لمواجهة هذه التهديدات:

بوابات أمان OAuth: حلول تعمل كوكيل بين المؤسسات ومزودي OAuth، وتنفذ سياسات دقيقة، وتكتشف الشذوذ، وتلغي الوصول ديناميكيًا.

إدارة وضع أمان SaaS (SSPM): أدوات تراقب باستمرار تكوين ووضع الأمان لجميع تطبيقات SaaS، وتحدد تكوينات OAuth الخاطئة والأذونات الزائدة.

التحليلات السلوكية لـ OAuth: استخدام التعلم الآلي لإنشاء خط أساس للسلوك الطبيعي لكل رمز OAuth واكتشاف الانحرافات عن هذا الخط الأساسي.

امتيازات الوقوف الصفري (ZSP): نماذج أمنية جديدة حيث لا توجد منح OAuth دائمة. بدلاً من ذلك، يُمنح الوصول في الوقت المناسب ولمدد محدودة.

دور الذكاء الاصطناعي والأتمتة في الدفاع

أحد أكثر الجوانب الواعدة للدفاع ضد تهديدات OAuth هو الاستخدام المتزايد للذكاء الاصطناعي والأتمتة. يمكن لأنظمة الكشف الحديثة:

• تحديد أنماط الوصول الشاذة غير المرئية للمحللين البشريين
• الاستجابة للتهديدات في الوقت الفعلي دون تدخل بشري
• الاستفادة من خلاصات استخبارات التهديدات للتعرف على أنماط الهجوم المعروفة
• تقديم توصيات تلقائية لتحسين الوضع الأمني

ومع ذلك، كما يستفيد المدافعون من الذكاء الاصطناعي، كذلك يفعل المهاجمون. نتوقع أن تكون الهجمات المستقبلية مدفوعة بالذكاء الاصطناعي بشكل متزايد، وقادرة على التكيف بشكل أسرع والتهرب من الكشف بتطور أكبر.

الخلاصة: الدروس التي يجب أن نتعلمها

يعمل هجوم Klue واختراقات البيانات في شركات الأمن السيبراني المتعددة كدعوة للاستيقاظ للصناعة بأكملها. يوضح هذا الحادث أن الأمن السيبراني لم يعد يمكن أن يقتصر على حماية محيط المؤسسة. في العالم الحديث، حيث تعتمد المؤسسات بشدة على البائعين والتكاملات وتطبيقات SaaS، يجب أن يتطور الأمن إلى نهج على مستوى النظام البيئي.

مفاتيح النجاح في هذه البيئة الجديدة هي:

• الرؤية: لا يمكنك تأمين ما لا يمكنك رؤيته. امتلاك رؤية كاملة لجميع منح OAuth والتكاملات ووصول البائعين أمر ضروري.
• النظافة: يجب أن تصبح إدارة دورة حياة بيانات الاعتماد ورموز OAuth عادة يومية، وليس مشروعًا فصليًا.
• الأتمتة: حجم رموز OAuth والتكاملات في مؤسسة حديثة كبير جدًا بحيث لا يمكن الإدارة اليدوية. الأتمتة ضرورية.
• الثقافة: يجب أن يكون الأمن جزءًا من الثقافة التنظيمية. كل مطور، كل مستخدم أعمال يضيف تكاملاً جديدًا يجب أن يفهم آثاره الأمنية.

وربما الأهم من ذلك، يذكرنا هذا الحادث بأنه في الأمن السيبراني، لا توجد مؤسسة كبيرة جدًا أو ذات خبرة كافية أو آمنة جدًا بحيث لا يمكن أن تصبح ضحية. ما يميزنا ليس القدرة على منع كل هجوم، بل القدرة على الكشف بسرعة والاستجابة بفعالية والتعلم من الحوادث.

الأسئلة الشائعة

المصادر والمزيد من القراءة