Incidente de filtración en la cadena de suministro de Klue: Robo de tokens OAuth, datos de Salesforce de casi 200 empresas filtrados

Resumen del evento

En junio de 2026, un ataque a la cadena de suministro dirigido al proveedor de SaaS Klue afectó a casi 200 organizaciones downstream, incluyendo múltiples empresas de ciberseguridad como Huntress, Recorded Future, Tanium y Jamf. Los atacantes aprovecharon credenciales heredadas en la infraestructura de integración de Klue para robar tokens OAuth, accediendo así a los entornos de Salesforce conectados por los clientes y sustrayendo información de contacto comercial y datos de ventas. El grupo amenazante Icarus intentó extorsionar a través de un sitio de filtración en Tor, pero posteriormente fue comprometido, y los datos robados cayeron por segunda vez en manos de otra parte no autorizada.

Análisis técnico y de riesgos

Cadena de ataque

Los atacantes primero descubrieron y explotaron una credencial en la infraestructura de integración de Klue que, aunque abandonada por mucho tiempo, seguía siendo válida (MITRE ATT&CK T1078: Cuentas válidas). A través de esta credencial, insertaron código malicioso diseñado específicamente para robar los tokens OAuth que los clientes autorizaban a Klue para conectarse a sus sistemas (T1528: Robo de tokens de acceso a aplicaciones). Utilizando estos tokens, los atacantes se hicieron pasar por Klue y, a través de la API legítima, consultaron los entornos de Salesforce de los clientes (T1550: Uso de materiales de autenticación alternativos), extrayendo información de contacto comercial y datos de ventas (T1213: Recopilación de datos desde repositorios de información), y exfiltrándolos mediante servicios web (T1567.002: Exfiltración a través de servicios web).

Alcance del impacto

Las organizaciones afectadas no se limitaron a empresas de ciberseguridad, sino que también incluyeron proveedores de seguros, plataformas de análisis de redes sociales y otros clientes de SaaS. Afortunadamente, los productos orientados al cliente, la infraestructura y los datos de ingeniería sensibles no se vieron comprometidos, y tampoco se vieron afectadas las contraseñas ni la información de tarjetas de pago. Sin embargo, los datos filtrados son suficientes para llevar a cabo ataques de phishing dirigidos posteriores.

Filtración secundaria

Tras la primera extorsión de Icarus, otra parte no autorizada afirmó haber obtenido los mismos datos y lanzó una nueva ronda de extorsión, lo que indica que los propios sistemas del atacante original también fueron comprometidos. Esto aumenta el riesgo de una mayor filtración de datos y complica el proceso de respuesta al incidente.

Análisis del impacto empresarial

Riesgo operativo

Las integraciones afectadas con Salesforce fueron deshabilitadas temporalmente, lo que redujo la eficiencia de los equipos que dependían de Klue para el análisis de inteligencia de mercado. Los clientes debieron revisar y rotar manualmente todos los tokens OAuth relacionados, lo que aumentó la carga operativa.

Riesgo financiero

Si las empresas pagan el rescate, podrían enfrentar pérdidas financieras directas. Además, la filtración de datos podría desencadenar multas por incumplimiento de contrato, especialmente con clientes que tienen acuerdos de nivel de servicio (SLA).

Riesgo de cumplimiento

Los datos de CRM filtrados pueden contener información de identificación personal (PII), lo que podría dar lugar a investigaciones regulatorias y multas bajo normativas como GDPR y CCPA. Las empresas afectadas deben evaluar las categorías de datos y notificar oportunamente a las autoridades reguladoras.

Riesgo de marca### Riesgos de marca

Para empresas de seguridad como Huntress, la confianza de sus clientes puede verse afectada por incidentes en su propia cadena de suministro.

Riesgos de datos

La información de contacto empresarial filtrada puede utilizarse en ataques de ingeniería social, aumentando significativamente el riesgo de correos de phishing dirigidos a altos ejecutivos o equipos de ventas.

Observaciones de tendencias del sector

Los ataques a la cadena de suministro siguen intensificándose

Este incidente no es un caso aislado. En los últimos años, los ataques a la cadena de suministro a través de integraciones SaaS de terceros han ido en aumento, como el ataque de transferencia MoveIt de 2023. Los atacantes prefieren cada vez más utilizar tokens OAuth y API legítimos para ocultar comportamientos maliciosos.

La seguridad de OAuth se convierte en foco

Los tokens OAuth, como núcleo de la autorización de identidad moderna, su mala gestión se ha convertido en un riesgo importante. Las empresas deben establecer una estrategia de gestión del ciclo de vida de los tokens, que incluya limitar permisos, rotación periódica y supervisión de usos anómalos.

Atacantes atacándose entre sí

La segunda intrusión en Icarus revela competencia y traición dentro del ecosistema del cibercrimen. Las empresas deben anticipar que los datos pueden circular entre múltiples atacantes, y la presión del rescate no desaparece tras el primer incidente.

Recomendaciones de defensa y respuesta

A nivel empresarial

• Seguridad de identidad: Activar la autenticación multifactor (MFA) para todas las integraciones de terceros y obligar al uso de tokens de corta duración en lugar de credenciales permanentes.
• Confianza cero: Implementar el principio de mínimo privilegio, limitando las integraciones de aplicaciones solo al acceso necesario a los datos.
• Gestión de vulnerabilidades: Auditar y eliminar periódicamente credenciales e integraciones obsoletas o no utilizadas.

A nivel técnico

• SIEM/SOAR: Integrar registros de uso de tokens OAuth, configurar reglas de alerta para detectar actividades anómalas de tokens, como solicitudes desde IP o franjas horarias atípicas.
• EDR/XDR: Supervisar procesos y conexiones de red anómalos en los endpoints, especialmente movimientos laterales dirigidos al acceso a credenciales.
• Inteligencia de amenazas: Suscribirse a fuentes de IoC relevantes y bloquear oportunamente IP maliciosas conocidas (por ejemplo, 138.226.246[.]94).

A nivel de gestión

• Respuesta a incidentes: Elaborar un plan específico para filtraciones de terceros, definiendo contacto con asesores legales, aseguradoras y fuerzas del orden (como el FBI).
• Gestión de riesgos de terceros: Realizar evaluaciones de seguridad a proveedores SaaS críticos, exigiéndoles divulgación de incidentes de seguridad y planes de contingencia.

Perspectiva de SecurityPost Insight

El incidente de Klue vuelve a sonar la alarma: la responsabilidad de seguridad empresarial ya no puede limitarse a su propio cortafuegos. La proliferación de tokens OAuth derivada de integraciones de terceros hace que cada punto de conexión pueda convertirse en una vía de ataque. En este ataque, los atacantes aprovecharon credenciales "heredadas", para las cuales muchas empresas carecen de mecanismos eficaces de limpieza.

Lo más preocupante es el fenómeno de la doble filtración: el atacante original fue hackeado, lo que demuestra que existen vulnerabilidades dentro del ecosistema de ransomware como servicio (RaaS), y las empresas deben estar alerta ante la posibilidad de que los datos se vendan varias veces.Lo que merece más atención es el fenómeno de la filtración secundaria: el atacante original es hackeado, lo que indica que existen vulnerabilidades dentro del ecosistema de ransomware como servicio (RaaS), y las empresas deben estar alerta ante la posibilidad de que los datos sean revendidos múltiples veces. En el futuro, las técnicas de ataque a la cadena de suministro basadas en OAuth serán más automatizadas, y las empresas deben integrar la gestión de identidades de terceros en una arquitectura de confianza cero, y auditar la seguridad de las integraciones SaaS como si se tratara de sistemas internos.

Se recomienda que los CISO incluyan el "riesgo de integración" como un proyecto de revisión clave para la segunda mitad de 2026, prestando especial atención a los proveedores de servicios que gestionan tokens OAuth.