LONDON (IT BOLTWISE) – Eine Sicherheitslücke ist diesmal weniger die Ursache als vielmehr ein Prozessfehler: Der Icarus-Erpressungsverbund nutzte veraltete, nie sauber decommissionierte Integrations-Zugänge, um die OAuth-Token von Klue-Kunden abzugreifen. Über rund 24 Stunden konnten Angreifer dabei automatisiert auf Salesforce-REST-APIs zugreifen, bevor Klue die Token deaktivierte. Salesforce schaltete die Klue-Integration später ebenfalls ab, nachdem klar war, dass das Problem auf der Integrationsschicht lag. Der Vorfall zeigt damit, warum KI-gestützte Scanner allein nicht reichen, wenn Identitäten und Berechtigungen nicht konsequent lebenzyklusbasiert verwaltet werden.
Der Erpressungsfall rund um Klue wirkt auf den ersten Blick wie ein klassischer Hacking-Incident. Tatsächlich beschreibt er aber vor allem ein Muster, das in vielen Unternehmen schwerer zu bekämpfen ist als einzelne Software-Fehler: vergessene Credentials und nicht entkoppelte Integrationen. Wie aus der Incident-Analyse hervorgeht, gelang der Gruppe Icarus der Einstieg über eine legacy Credential, die an einen Integrations-Service-Account gebunden war. Dieser Account war für ein Prototyping angelegt worden, aber nie sauber dekommissioniert worden. Genau solche „toten“ Zugänge mit noch aktiven Berechtigungen werden in modernen Umgebungen zur bevorzugten Angriffsfläche.
Der technische Ablauf legt nahe, dass der Angriff über die Klue-Integrationsebene lief und gezielt Identitäts-Token ausgenutzt hat. Nach dem Zugriff auf die Backend-Systeme veröffentlichten die Angreifer einen bösartigen Code-Update für die Integration Layer. Ziel war es, OAuth-Tokens einzusammeln, die Klue-Kunden ausgestellt hatten, um die Plattform mit Drittanbietern wie Salesforce, HubSpot, Google Drive und Slack zu verbinden. Anschließend griffen Python-Skripte auf Salesforce REST APIs zu und liefen über einen Zeitraum von etwa 24 Stunden, bevor die Aktivität am 12. Juni erkannt wurde. Erst danach deaktivierte Klue die kompromittierten Tokens.
Für Unternehmen ist dabei entscheidend, dass der Schaden nicht primär durch eine Schwachstelle in der Plattform oder in Salesforce entstand. Berichten zufolge bestätigte Salesforce später, dass das Problem auf der Integrationsschicht von Klue beschränkt war und die Salesforce-Plattform selbst nicht verwundbar gewesen sei. Der Unterschied ist nicht nur juristisch relevant, sondern auch operativ: Klue musste die Token-Rücknahme und die Integrationsfunktion kontrollieren, während Salesforce die betroffene App-Integration am 17. Juni deaktivierte. Besonders auffällig ist die zeitliche Staffelung: erst Token-Deaktivierung durch Klue, danach Integration-Shutdown durch den Plattformanbieter.
Zur Größenordnung: Etwa 200 Organisationen sollen betroffen gewesen sein, darunter mehrere bekannte Security- und Softwareunternehmen. Die exfiltrierten Daten wurden als kommerziell beschrieben, etwa Geschäftskontakte, Preisauskünfte, E-Mail-Adressen und Sales-Kommunikation. Gleichzeitig betonte Huntress in ihrem Incident-Account, dass keine Produktinfrastruktur, keine Telemetriedaten, keine Passwörter und keine Zahlungsinformationen betroffen gewesen seien. Ein weiterer Faktor ist die Erpressungslogik: Der Angreifer forderte innerhalb eines 48-Stunden-Fensters ein Lösegeld und listete Klue später zusätzlich auf einer Dark-Web-Seite. Solche Eskalationsmuster erhöhen den Druck auf Incident-Response-Teams und verlängern oft die „Containment“-Phase.
Der Fall fällt in eine Zeit, in der KI-gestützte Sicherheitsautomatisierung zunehmend die erste Verteidigungslinie wird: automatisierte Schwachstellensuche und Vulnerability Scanning finden mehr Bugs schneller als früher. Doch genau hier kommt der gegenteilige Effekt ins Spiel. Wie Experten in der Branche immer wieder betonen, verschiebt sich das Risiko von „findbaren“ technischen Lücken hin zu operativen Sicherheitslücken, die Scanner nicht zuverlässig abdecken. Dazu zählen vergessene Accounts, verwaiste Integrationszugänge und Berechtigungen, die nach Decommissioning weiterleben. Damit bleibt die Identitäts- und Rechteverwaltung (Identity Lifecycle Management) oft der größere Hebel als die reine Steigerung der Scan-Abdeckung.
Market-wise lohnt der Blick auf die Wettbewerbsdynamik: Große Plattformanbieter und Ökosysteme rund um OAuth bauen zwar Mechanismen wie App-Deaktivierung und Token-Revocation ein, aber die Sicherheit hängt stark vom Implementierungsgrad der Partner ab. Im Vergleich zu „reinen“ SAST/DAST-Ansätzen setzen viele Teams deshalb stärker auf Guardrails in der Identity-Ebene, etwa zeitnahe Token-Rotation, minimale Scopes und automatisierte Re-Zertifizierung von Integrationen. Der Vorfall zeigt zudem, dass die Angriffsfläche häufig dort liegt, wo Unternehmen viele SaaS-Integrationen über eine gemeinsame Schicht verbinden. Wer heute mit KI-gestützten Detektoren investiert, sollte sie als Ergänzung begreifen, nicht als Ersatz für konsequentes Decommissioning.
Für die nächsten Monate lässt sich daraus eine klare Zukunftsimplikation ableiten: Künstliche Intelligenz wird Detektion zwar beschleunigen, aber das Schlüsselkriterium wird „Lifecycle“ statt „Coverage“ sein. Praktisch heißt das, dass Integrations-Service-Accounts nach Projektende automatisch deaktiviert, Berechtigungen nachweisbar entzogen und eventuelle Altbestände im Backend inventarisiert werden müssen. Gerade in Cloud-native und eventgetriebenen Deployments sind Residual Permissions ein wiederkehrendes Risiko. Zusätzlich wird das Monitoring stärker auf ungewöhnliche Token-Usage und API-Patterns ausgerichtet werden müssen, statt nur auf klassische Exploit-Signaturen. Damit profitieren auch Entwicklerteams: Gut dokumentierte Identitätsflüsse vereinfachen Audit, Response und späteres Hardening.
Abschließend zeigt der Fall, wie wichtig Abstimmung zwischen Plattformanbieter und Integrationspartner ist. Klue und Salesforce reagierten zeitversetzt, aber zielgerichtet: erst Token deaktivieren, dann App-Integration abschalten, nachdem die Ursache eingegrenzt war. Für CIOs und Security-Leads ist das eine Erinnerung daran, dass Incident Response zunehmend ein Zusammenspiel aus Identitätsadministration, Integrationsbetrieb und forensischer Datenlage wird. Wer sich nur auf technische Scans verlässt, lässt die eigentliche Angriffslogik intakt. Der Weg nach vorn führt über automatisierte Identitätsbereinigung, strikte Scope-Politiken und über ein Monitoring, das nicht nur Softwarefehler, sondern auch „tote“ Berechtigungen früh erkennt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Icarus kompromittiert Klue über vergessene Integrations-Credentials und stiehlt OAuth-Tokens" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Icarus kompromittiert Klue über vergessene Integrations-Credentials und stiehlt OAuth-Tokens" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Icarus kompromittiert Klue über vergessene Integrations-Credentials und stiehlt OAuth-Tokens« bei Google Deutschland suchen, bei Bing oder Google News!