Publicado en

Brecha en Klue y el robo de datos en Salesforce: Lo que las empresas deben saber sobre el ataque de Icarus

•Publicado enIncidentes y Brechas

Brecha en Klue y el robo de datos en Salesforce: El peligro del abuso de tokens OAuth

La plataforma de inteligencia de mercado Klue ha confirmado recientemente una brecha de seguridad significativa que ha permitido al grupo de amenazas conocido como ‘Icarus’ acceder y sustraer datos críticos de Salesforce CRM de múltiples organizaciones. Este incidente subraya una vulnerabilidad creciente en el ecosistema empresarial: la explotación de integraciones de terceros mediante el abuso de protocolos de autorización.

¿Cómo ocurrió el ataque? El papel de OAuth

A diferencia de los ataques tradicionales que buscan contraseñas, los actores de amenazas detrás de esta campaña se centraron en los tokens OAuth. OAuth es un estándar abierto que permite a aplicaciones de terceros (como Klue) acceder a datos en otras plataformas (como Salesforce) sin necesidad de compartir las credenciales del usuario.

Según los informes de firmas de ciberseguridad como ReliaQuest y Huntress, los atacantes lograron comprometer los sistemas backend de Klue e introdujeron una actualización de código maliciosa. Esta actualización permitió el robo de los tokens OAuth que los clientes utilizaban para integrar la herramienta ‘Battlecards’ de Klue con sus entornos de Salesforce.

El modus operandi del grupo Icarus

Una vez obtenidos los tokens, el grupo Icarus —un actor de amenazas relativamente nuevo que comenzó sus operaciones en abril de 2026— utilizó scripts automatizados en Python para consultar la API REST de Salesforce. El proceso se dividió en dos fases críticas:

  • Reconocimiento: Utilizaron el endpoint /services/data/v59.0/sobjects para mapear los objetos de Salesforce de las víctimas e identificar la información más valiosa.
  • Exfiltración: A través del endpoint /services/data/v59.0/query, realizaron miles de consultas para extraer datos de forma masiva, alternando entre ráfagas de alta velocidad y extracciones lentas para evitar ser detectados.

Impacto en la información empresarial

Los datos sustraídos no incluyen contraseñas ni información de tarjetas de pago, pero sí contienen activos estratégicos de alto valor para cualquier competidor o actor malicioso:

  • Contactos comerciales y comunicaciones de ventas.
  • Cotizaciones de precios y propuestas económicas.
  • Informes de inteligencia competitiva.
  • Datos detallados de cuentas y clientes.

Tras el robo, el grupo Icarus ha iniciado una campaña de extorsión, contactando a las empresas afectadas para exigir pagos a cambio de no filtrar la información en la dark web.

Recomendaciones de seguridad para organizaciones

Desde Intedya, recomendamos a todas las empresas que utilicen integraciones de terceros en sus plataformas SaaS (como Salesforce, HubSpot o Slack) tomar las siguientes medidas preventivas y correctivas:

  1. Rotación de tokens: Revocar y rotar inmediatamente todos los tokens OAuth asociados a integraciones de Klue y otras aplicaciones de terceros que hayan reportado incidentes.
  2. Auditoría de logs: Revisar los registros de actividad de Salesforce en busca de consultas inusuales a la API, especialmente aquellas provenientes de direcciones IP desconocidas o en horarios no habituales.
  3. Gestión de accesos: Aplicar el principio de privilegio mínimo a las aplicaciones conectadas, limitando el alcance de los tokens OAuth solo a los datos estrictamente necesarios para su funcionamiento.
  4. Monitoreo de APIs: Implementar soluciones de monitoreo que alerten sobre patrones de consulta anómalos que puedan indicar un proceso de exfiltración de datos.

Este incidente nos recuerda que la seguridad de nuestra información no solo depende de nuestras propias defensas, sino también de la robustez de la cadena de suministro de software y las integraciones que decidimos implementar en nuestro entorno corporativo.

Fuentes