La compromission de la chaîne d'approvisionnement de Klue expose les données Salesforce de ses clients

Le 19 juin 2026, les sociétés de cybersécurité Huntress et Recorded Future ont révélé que leurs données Salesforce avaient été volées à la suite d'une compromission de la chaîne d'approvisionnement visant Klue — la plateforme d'intelligence concurrentielle et d'analyse win-loss basée à Vancouver, dont l'application s'intègre aux CRM de ses clients. Cette fuite illustre parfaitement la manière dont un seul fournisseur SaaS de confiance peut devenir un canal vers les données de nombreuses organisations en aval.

Ce qui s'est passé

D'après les notifications adressées par Klue à ses clients et les communications des entreprises touchées, les attaquants ont d'abord accédé à l'infrastructure dorsale de Klue à l'aide d'un identifiant d'API resté dormant, créé à l'origine pour un prototype d'intégration tierce abandonné. À partir de ce point d'appui, ils ont déployé une mise à jour de code conçue pour récolter les jetons OAuth des applications connectées des clients. Ces jetons ont ensuite servi à atteindre les systèmes en aval des clients — en premier lieu leurs instances Salesforce — et à en exfiltrer des données.

Klue a détecté et contenu l'activité non autorisée le matin du 12 juin 2026, puis a procédé à la désactivation des jetons OAuth de tous ses clients tout en coupant ses intégrations avec Salesforce, HubSpot, SharePoint, Zoom, Gong, Chorus, Clari, Google Drive et Slack. Le 17 juin 2026, Salesforce a de son côté désactivé l'application connectée « Battlecards » de Klue, avertissant qu'une activité inhabituelle avait pu entraîner un accès non autorisé à un sous-ensemble de données clients via la connexion de l'application à Salesforce.

Impact

Les victimes en aval étaient les clients ayant connecté Klue à leur CRM. Recorded Future a indiqué ne pas avoir été spécifiquement ciblée mais avoir été une victime incidente de l'intégration compromise entre Salesforce et Klue, et que l'impact semblait limité à des champs de données commerciales stockés dans sa base Salesforce — tels que des noms de contacts clients et adresses e-mail, certaines informations contractuelles ayant aussi pu être concernées. Huntress a de même confirmé qu'une partie de ses données Salesforce avait été exfiltrée. Le nombre total de clients de Klue touchés n'a pas été divulgué.

Attribution

Huntress a indiqué avoir reçu une tentative de communication d'extorsion émanant d'un acteur se faisant appeler « Mr Brean », qui renvoyait à un identifiant Session Messenger associé à Icarus, un groupe d'extorsion apparu en avril 2026. Sur la base de ces concordances, Huntress a déclaré disposer d'un haut niveau de confiance quant à la responsabilité de l'acteur Icarus dans la compromission de Klue.

Pourquoi c'est important

L'incident Klue met en lumière un thème récurrent des fuites modernes : la sécurité d'une organisation est bornée par celle des applications SaaS auxquelles elle accorde un accès. Un identifiant oublié, lié à une intégration obsolète, a suffi à transformer un fournisseur en rampe de lancement, et les jetons OAuth — pensés pour la commodité — sont devenus les clés ouvrant les données CRM des clients. Il témoigne aussi du ciblage continu des applications tierces connectées à Salesforce comme voie de grande valeur vers les données d'entreprise, rappelant pourquoi les organisations doivent inventorier leurs applications connectées, restreindre étroitement les autorisations OAuth et retirer les identifiants dormants.