La plateforme canadienne de veille concurrentielle Klue a confirmé avoir subi une cyberattaque ayant entraîné l’accès non autorisé à des données hébergées chez certains de ses clients. L’incident illustre une nouvelle fois les risques liés aux services tiers connectés aux environnements cloud d’entreprise, notamment aux bases Salesforce.
Des jetons OAuth dérobés via une ancienne connexion
Selon Klue, l’intrusion a été détectée le 12 juin 2026 et proviendrait d’un ancien identifiant compromis associé à un service d’intégration. Les attaquants auraient ensuite récupéré des jetons OAuth utilisés pour relier la plateforme aux outils cloud de ses clients, avant d’accéder à certaines données stockées dans les environnements connectés.
Dans sa communication, l’entreprise indique que l’attaquant a exploité une « ancienne information d’identification compromise » afin d’obtenir ces autorisations. Klue a depuis désactivé les intégrations concernées et mandaté CrowdStrike pour participer à la réponse à incident.
Huntress, Recorded Future, Snyk et d’autres entreprises concernées
Plusieurs sociétés ont confirmé être affectées, parmi lesquelles Huntress, Recorded Future, HackerOne, Jamf, Snyk, OneTrust, Tanium, Gong ou encore Sprout Social. Les données consultées ou exfiltrées concerneraient principalement des informations professionnelles : noms, adresses e-mail, numéros de téléphone, fonctions, éléments de comptes clients et informations commerciales présentes dans certains CRM.
Le groupe cybercriminel Icarus revendique l’opération et menace de publier les données volées en l’absence de paiement. Cette revendication doit toutefois être distinguée des éléments officiellement confirmés par Klue et les entreprises touchées.
Une attaque de chaîne d’approvisionnement numérique
Plutôt que de viser chaque victime séparément, les pirates ont ciblé un intermédiaire disposant de connexions vers de multiples systèmes clients. Cette méthode transforme une seule compromission en point d’entrée potentiel vers plusieurs organisations.
L’affaire rappelle que la sécurité des applications SaaS ne dépend pas uniquement des mots de passe et de l’authentification interne. La révocation rapide des accès anciens, l’audit des intégrations OAuth et la limitation des privilèges accordés aux services tiers deviennent essentiels à mesure que les entreprises multiplient les connexions entre leurs outils cloud.
