🔐 هک تاریخی Klue: نشت اطلاعات غول‌های امنیت سایبری

وقتی یک توکن فراموش‌شده، دروازه جهنم را باز می‌کند

در روز ۱۸ ژوئن ۲۰۲۶، تیم امنیتی Huntress متوجه فعالیت‌های مشکوکی در محیط Salesforce خود شد. چیزی که در ابتدا به نظر یک آنومالی ساده می‌رسید، به زودی به یکی از پیچیده‌ترین حملات زنجیره تامین در تاریخ صنعت امنیت سایبری تبدیل شد. داستان از Klue شروع می‌شود؛ یک پلتفرم هوش رقابتی (Competitive Intelligence) که صدها شرکت بزرگ از آن برای تجزیه و تحلیل بازار و مدیریت اطلاعات مشتریان استفاده می‌کنند.

هکرها با استفاده از یک "credential legacy" که سال‌ها پیش با یک vendor به اشتراک گذاشته شده و هرگز باطل نشده بود، به زیرساخت Klue نفوذ کردند. این اعتباری که احتمالاً یک Personal Access Token (PAT) از GitHub بود، به مهاجمان اجازه داد تا به سیستم‌های داخلی Klue دسترسی یابند و OAuth tokens مشتریانی که Klue را به Salesforce و سایر پلتفرم‌های شخص ثالث متصل کرده بودند، سرقت کنند.

تاکتیک‌های Icarus؛ از نفوذ اولیه تا استخراج داده

گروه Icarus، که خود را مسئول این حمله دانسته، با دقت و برنامه‌ریزی قابل توجهی عمل کرد. پس از نفوذ به Klue از طریق credential legacy، مهاجمان یک به‌روزرسانی مخرب کد را به محیط Klue push کردند. این کد مخصوص برای capture کردن OAuth tokens طراحی شده بود که برای اتصال به پلتفرم‌های شخص ثالث مانند Salesforce استفاده می‌شدند.

سپس، مهاجمان با استفاده از اسکریپت‌های Python خودکار، شروع به query کردن Salesforce REST API قربانیان کردند. طبق گزارش Huntress، این فعالیت‌ها به مدت حدود ۲۴ ساعت ادامه داشت و در این مدت، هکرها توانستند به داده‌های حساسی شامل مخاطبین تجاری، ارتباطات فروش، اطلاعات قیمت‌گذاری و یادداشت‌های فرصت‌های فروش دسترسی پیدا کنند.

قربانیان برجسته؛ شرکت‌هایی که امنیت را تعلیم می‌دهند

ایرونی قضیه در اینجاست که قربانیان این حمله، خود شرکت‌هایی هستند که دیگران را در مورد امنیت سایبری آموزش می‌دهند. در میان تایید‌شده‌ترین قربانیان می‌توان به موارد زیر اشاره کرد:

• Huntress: یکی از پیشروان در حوزه Managed Detection & Response (MDR) که به صورت شفاف تمام جزئیات حمله را منتشر کرده است
• HackerOne: بزرگترین پلتفرم Bug Bounty جهان که هکرهای اخلاقی در آن فعالیت می‌کنند
• Jamf: متخصص در مدیریت و امنیت دستگاه‌های Apple در سازمان‌ها
• Recorded Future: شرکت معروف Threat Intelligence که به سازمان‌ها کمک می‌کند تهدیدات سایبری را شناسایی کنند
• Tanium: ارائه‌دهنده راهکارهای Endpoint Management و امنیت
• Snyk: پلتفرم امنیت توسعه نرم‌افزار (DevSecOps)
• OneTrust: رهبر حوزه مدیریت حریم خصوصی و governance

علاوه بر شرکت‌های امنیت سایبری، شرکت‌های دیگری مانند Gong (پلتفرم Revenue Intelligence)، Sprout Social (مدیریت شبکه‌های اجتماعی) و Insurity (نرم‌افزار بیمه) نیز در میان قربانیان قرار دارند.

چرا این حمله متفاوت است؟

حمله به Klue بخشی از یک موج گسترده‌تر از حملات OAuth-based است که در سال‌های ۲۰۲۵ و ۲۰۲۶ شاهد آن بوده‌ایم. پیش از این، پلتفرم‌های Salesloft Drift و Gainsight نیز قربانی حملات مشابهی شدند که توسط گروه‌هایی مانند ShinyHunters اجرا شده بودند.

اما آنچه حمله Icarus را متمایز می‌کند، هدف‌گیری شرکت‌های امنیت سایبری است. این شرکت‌ها معمولاً در صدر امنیت قرار دارند و از تکنیک‌های پیشرفته detection و response استفاده می‌کنند. حقیقت این است که حتی این شرکت‌ها نیز قربانی یک حمله زنجیره تامین شدند، نشان‌دهنده پیچیدگی و خطر این نوع حملات است.

واکنش Salesforce و Klue؛ دیر اما ضروری

پس از کشف حمله، Salesforce به سرعت واکنش نشان داد و integration اپلیکیشن Klue را در پلتفرم خود غیرفعال کرد. این اقدام مانع از ادامه دسترسی غیرمجاز شد، اما خسارت وارده قابل برگشت نبود. Jason Smith، مدیرعامل Klue، در بیانیه‌ای گفت: "مهاجم از آن دسترسی برای بدست آوردن OAuth tokens استفاده کرد که برای اتصال Klue به پلتفرم‌های شخص ثالث خاصی از جمله Salesforce استفاده می‌شدند و متعاقباً به داده‌های درون تعدادی از محیط‌های مشتریان متصل دسترسی یافت."

Klue در بیانیه خود تأکید کرده که اقدامات فوری برای حفاظت از مشتریان انجام داده و با مقامات قانونی و متخصصان امنیت سایبری همکاری می‌کند. با این حال، شرکت تاکنون تعداد دقیق مشتریان آسیب‌دیده را اعلام نکرده است. آنچه مشخص است این است که Klue صدها مشتری سازمانی دارد و طبق گزارش‌ها، بیش از ۷۰۰ سازمان در معرض این حمله قرار گرفته‌اند.

تحلیل تکین؛ چرا credentials legacy تبدیل به کابوس امنیتی شده‌اند؟

این حمله یک درس کلیدی برای تمام سازمان‌ها دارد: مدیریت credential lifecycle یک ضرورت است، نه یک توصیه. بر اساس تحلیل‌های امنیتی، credential فراموش‌شده‌ای که برای این حمله استفاده شد، احتمالاً یک GitHub Personal Access Token (PAT) بود که سال‌ها پیش با یک vendor به اشتراک گذاشته شده و هرگز revoke نشده بود.

این سناریو در بسیاری از سازمان‌ها تکرار می‌شود: توسعه‌دهندگان برای تسریع کار، credentials را با vendors یا ابزارهای خارجی به اشتراک می‌گذارند، اما هیچ‌گاه یک فرآیند سیستماتیک برای revoke کردن این دسترسی‌ها در پایان پروژه یا هنگام تغییر vendor وجود ندارد. نتیجه؟ یک timebomb امنیتی که ممکن است سال‌ها بعد منفجر شود.

چشم‌انداز تهدید؛ عصر جدید حملات OAuth-based

حمله Klue نمونه‌ای از یک trend خطرناک است که در سال‌های اخیر شاهد آن بوده‌ایم. مهاجمان متوجه شده‌اند که به جای hack کردن مستقیم یک شرکت، می‌توانند از طریق vendors و integration های شخص ثالث به داده‌های حساس دسترسی پیدا کنند. این روش چندین مزیت برای مهاجمان دارد:

• Scalability: با hack کردن یک vendor، می‌توانند به صدها یا هزاران سازمان دسترسی پیدا کنند
• Lower Detection: فعالیت‌های مشکوک به نام یک vendor معتبر انجام می‌شود، پس شانس detection کمتر است
• Legitimate Appearance: استفاده از OAuth tokens معتبر به معنی این است که ترافیک به نظر کاملاً legitimate می‌رسد
• Persistent Access: برخی OAuth tokens تاریخ انقضا ندارند و تا زمانی که manually revoke نشوند، همچنان معتبر هستند

درس‌های امنیتی برای سازمان‌ها

این حادثه چندین درس حیاتی برای سازمان‌ها دارد، صرف‌نظر از اینکه در چه صنعتی فعالیت می‌کنند:

۱. Zero Trust نباید فقط یک buzzword باشد: همه integrations و third-party apps باید با همان سطح شک و تردید نگریسته شوند که به یک کاربر جدید نگاه می‌کنید. هیچ دسترسی نباید بدون validation و monitoring مداوم باقی بماند.

۲. Security Hygiene یک عادت است، نه یک پروژه: مدیریت credentials و OAuth tokens نمی‌تواند یک تلاش یکباره باشد. باید به بخشی از فرآیندهای روزمره DevOps و SecOps تبدیل شود.

۳. شفافیت در breach ها مهم است: رویکرد Huntress در انتشار اطلاعات کامل حمله، الگوی خوبی برای دیگر سازمان‌ها است. این شفافیت به کل صنعت کمک می‌کند تا از این حمله درس بگیرد.

۴. حتی security vendors هم vulnerable هستند: این حمله یادآور این واقعیت است که هیچ سازمانی، حتی آن‌هایی که در حوزه امنیت سایبری فعالیت می‌کنند، نمی‌توانند خود را ۱۰۰٪ ایمن بدانند. امنیت یک فرآیند مداوم است، نه یک state ثابت.

نگاهی به گروه Icarus؛ اخلال‌گر جدید در صحنه ransomware

گروه Icarus، که مسئولیت این حمله را برعهده گرفته، یک بازیگر نسبتاً جدید در صحنه باج‌افزار و data extortion است. بر خلاف گروه‌های معروف ransomware مانند LockBit یا BlackCat که سیستم‌ها را encrypt می‌کنند، Icarus بیشتر بر روی سرقت داده و تهدید به افشا متمرکز است.

تحلیل‌گران امنیتی Huntress با سطح اطمینان بالا، Icarus را به عنوان یک operation جدید شناسایی کرده‌اند که از playbook گروه‌های قبلی مانند ShinyHunters الهام گرفته، اما با تاکتیک‌های منحصر به فردی عمل می‌کند. آنچه Icarus را متمایز می‌کند، انتخاب هدف‌های high-profile در صنعت امنیت سایبری است - اقدامی که هم بازتاب رسانه‌ای بیشتری دارد و هم pressure بیشتری برای پرداخت باج ایجاد می‌کند.

تأثیر بر صنعت؛ اعتماد زیر سؤال

یکی از مهم‌ترین پیامدهای این حمله، تأثیر آن بر اعتماد به شرکت‌های امنیت سایبری است. وقتی شرکت‌هایی که قرار است دیگران را از تهدیدات سایبری محافظت کنند، خود قربانی یک حمله می‌شوند، سؤالات جدی در مورد استانداردهای امنیتی کل صنعت مطرح می‌شود.

اما واقعیت این است که این حمله نه تنها نشان‌دهنده ضعف این شرکت‌ها نیست، بلکه نشان‌دهنده پیچیدگی فزاینده حملات زنجیره تامین است. حتی سازمان‌هایی با بالاترین استانداردهای امنیتی نمی‌توانند خود را از تهدیدات ناشی از vendors و third-party integrations کاملاً محافظت کنند - مگر اینکه رویکرد جامع‌تری در مدیریت این روابط اتخاذ کنند.

توصیه‌های فوری برای مدیران امنیت (CISO)

اگر شما یک CISO یا مسئول امنیت هستید، این حمله باید چند اقدام فوری را trigger کند:

۱. فوری: Audit کنید تمام OAuth grants فعال را
به تمام applications شخص ثالثی که به Salesforce، Microsoft 365، Google Workspace و سایر سیستم‌های حساس شما متصل هستند، نگاه کنید. آیا همه آن‌ها هنوز ضروری هستند؟ آیا می‌دانید دقیقاً چه permissions دارند؟

۲. فوری: بررسی کنید logs دسترسی API را
به دنبال الگوهای غیرعادی در دسترسی به API های CRM و business systems خود بگردید. توجه ویژه‌ای به دسترسی‌های bulk data extraction در ساعات غیرعادی یا از IP های ناشناخته داشته باشید.

۳. کوتاه‌مدت: پیاده‌سازی کنید OAuth token monitoring
ابزارهایی را پیاده‌سازی کنید که بتوانند به صورت real-time فعالیت‌های مشکوک OAuth tokens را detect کنند. این می‌تواند شامل anomaly detection برای patterns دسترسی، geographic location checks و volume monitoring باشد.

۴. میان‌مدت: برنامه‌ریزی کنید برای credential lifecycle management
یک فرآیند سیستماتیک برای ایجاد، rotation و revocation تمام credentials سازمانی خود ایجاد کنید. این باید شامل API keys، service accounts، OAuth tokens و هر نوع دسترسی automated دیگری باشد.

۵. بلندمدت: vendor risk management را جدی بگیرید
یک برنامه جامع vendor risk management پیاده‌سازی کنید که شامل security assessments منظم، contractual security requirements و continuous monitoring باشد.

چشم‌انداز آینده؛ تکامل تهدیدات OAuth

حمله Klue بخشی از یک trend بزرگ‌تر است که احتمالاً در سال‌های آینده تشدید خواهد شد. به دلایل زیر، انتظار داریم حملات OAuth-based افزایش یابند:

رشد فزاینده SaaS ecosystem: سازمان‌ها روزبه‌روز به تعداد بیشتری از applications SaaS وابسته می‌شوند و هر کدام از این ها نیاز به integration دارند. هر integration یک سطح حمله بالقوه است.

پیچیدگی مدیریت OAuth: بسیاری از سازمان‌ها visibility کافی در مورد تعداد OAuth grants فعال خود ندارند. این lack of visibility، یک فرصت طلایی برای مهاجمان است.

ROI بالا برای مهاجمان: با یک حمله موفق به یک vendor، مهاجمان می‌توانند به صدها یا هزاران سازمان دسترسی پیدا کنند. این scalability، حملات supply chain را بسیار جذاب می‌کند.

ضعف در vendor security: متأسفانه، بسیاری از vendors کوچک‌تر منابع یا تخصص کافی برای security practices قوی ندارند، اما به سیستم‌های حساس مشتریان بزرگ دسترسی دارند.

راهکارهای نوین؛ چگونه صنعت در حال تکامل است

خوشبختانه، صنعت امنیت سایبری در حال توسعه راهکارهای جدید برای مقابله با این تهدیدات است:

OAuth Security Gateways: راهکارهایی که به عنوان یک proxy بین سازمان و OAuth providers عمل می‌کنند و می‌توانند policies granular را enforce کنند، anomalies را detect کنند و دسترسی را به صورت dynamic revoke کنند.

SaaS Security Posture Management (SSPM): ابزارهایی که به صورت مداوم configuration و security posture تمام SaaS applications را monitor می‌کنند و می‌توانند OAuth misconfigurations را شناسایی کنند.

Behavioral Analytics for OAuth: استفاده از machine learning برای ایجاد baseline رفتار normal برای هر OAuth token و detection انحرافات از این baseline.

Zero Standing Privileges: مدل‌های امنیتی جدید که در آن OAuth grants به صورت permanent وجود ندارند و به جای آن، دسترسی فقط just-in-time و برای مدت محدود اعطا می‌شود.

نقش AI و automation در دفاع

یکی از امیدوارکننده‌ترین جنبه‌های مبارزه با تهدیدات OAuth، استفاده فزاینده از AI و automation است. سیستم‌های مدرن detection می‌توانند:

• الگوهای access anomalous را شناسایی کنند که برای یک human analyst قابل مشاهده نیستند
• به صورت real-time به تهدیدات پاسخ دهند و دسترسی‌های مشکوک را بدون نیاز به دخالت انسانی revoke کنند
• از threat intelligence feeds برای شناسایی patterns حمله شناخته‌شده استفاده کنند
• recommendations خودکار برای security posture improvement ارائه دهند

اما همان‌طور که defenders از AI استفاده می‌کنند، attackers هم همین کار را می‌کنند. انتظار داریم حملات آینده بیشتر توسط AI هدایت شوند و قادر باشند سریع‌تر adapt شوند و detection را دور بزنند.

نتیجه‌گیری؛ درس‌هایی که باید یاد بگیریم

حمله Klue و نشت اطلاعات شرکت‌های امنیت سایبری یک wake-up call برای کل صنعت است. این حادثه نشان می‌دهد که امنیت سایبری دیگر نمی‌تواند فقط به محافظت از perimeter سازمان محدود شود. در دنیای مدرن، که سازمان‌ها به شدت به vendors، integrations و SaaS applications وابسته هستند، امنیت باید به یک رویکرد ecosystem-wide تبدیل شود.

کلیدهای موفقیت در این محیط جدید عبارتند از:

• Visibility: شما نمی‌توانید چیزی را که نمی‌بینید، امن کنید. داشتن visibility کامل از تمام OAuth grants، integrations و vendor access ها ضروری است.
• Hygiene: مدیریت lifecycle credentials و OAuth tokens باید به یک عادت روزانه تبدیل شود، نه یک پروژه فصلی.
• Automation: حجم OAuth tokens و integrations در یک سازمان مدرن آن‌قدر زیاد است که manual management امکان‌پذیر نیست. automation ضروری است.
• Culture: امنیت باید بخشی از فرهنگ سازمانی باشد. هر developer، هر business user که یک integration جدید اضافه می‌کند، باید implications امنیتی آن را درک کند.

و شاید مهم‌تر از همه، این حادثه به ما یادآوری می‌کند که در امنیت سایبری، هیچ سازمانی خیلی بزرگ، خیلی باتجربه یا خیلی امن نیست که نتواند قربانی یک حمله شود. آنچه ما را متمایز می‌کند، نه توانایی جلوگیری از هر حمله، بلکه توانایی detection سریع، response موثر و یادگیری از incidents است.

سوالات متداول

منابع و مطالعه بیشتر