Quand les hackers se font pirater : la brèche Klue et la nouvelle réalité du cyber-risque tiers

En matière de cybersécurité, les défenseurs supposent parfois naïvement que les acteurs de la menace opèrent à partir d’infrastructures sécurisées et résilientes, à l’abri du chaos qu’ils infligent aux autres. Le compromis de Klue pour 2026 remet en question cette hypothèse. Ce qui a commencé comme une violation de la chaîne d’approvisionnement d’un logiciel en tant que service s’est transformé en un cas exceptionnel dans lequel un deuxième groupe criminel a affirmé avoir compromis la première équipe d’extorsion et volé des données déjà volées. Le résultat n’a pas été une simple histoire de ransomware. Il a révélé des faiblesses fondamentales dans les intégrations SaaS, la confiance basée sur l’identité, la gestion des risques liés aux tiers et la prise de décision des dirigeants.

Scène du crime

Fondée en 2015, Klue, une société de logiciels en tant que service (SaaS) basée à Vancouver, en Colombie-Britannique, fournit une plateforme de veille concurrentielle alimentée par l’IA qui sert plus de 500 clients et emploie plus de 200 personnes en Amérique du Nord et en Europe. La société a levé environ 81 millions de dollars en capital-risque. La plateforme aide les organisations à surveiller leurs concurrents, à analyser les signaux du marché et à diffuser des informations entre les équipes commerciales, marketing, produits et de direction. En regroupant des sources publiques, des connaissances internes et des données tierces, Klue transforme des informations fragmentées en informations exploitables qui soutiennent des décisions stratégiques plus rapides, un positionnement concurrentiel plus fort et une planification de produits plus efficace. L’application Battlecards de Klue s’intègre à Salesforce, HubSpot, SharePoint, Zoom, Gong, Chorus, Clari, Google Drive et Slack, synchronisant les enregistrements de compte, les données de transaction, les informations de contact et les transcriptions d’appels.

Cause du manquement

Klue occupe une position privilégiée au sein des environnements clients puisqu’elle s’intègre à des plateformes telles que Salesforce et d’autres écosystèmes de collaboration. Ces intégrations s’appuient fortement sur des jetons OAuth qui permettent un accès fiable et authentifié sans demander à plusieurs reprises des informations d’identification. Les attaquants du groupe criminel Icarus ont découvert un identifiant de compte de service inutilisé mais toujours actif, initialement créé pour un projet pilote. Ces informations d’identification inutilisées et oubliées ont fourni un point d’entrée dans l’infrastructure d’intégration de Klue. Plutôt que de voler des mots de passe, les attaquants ont récupéré des jetons OAuth. Cette distinction est importante. Les attaques modernes basées sur l’identité se concentrent de plus en plus sur les jetons de session et les relations de confiance entre applications plutôt que sur le vol d’informations d’identification. Une fois les jetons OAuth valides obtenus, les attaquants ont effectivement hérité des autorisations accordées à Klue dans les environnements clients. Ils ont exécuté de nombreuses requêtes API Salesforce sur une période de plusieurs heures, extrayant des données de gestion de la relation client, notamment des informations de contact, des devis, des informations sur les prix, des communications commerciales et des enregistrements de compte.

Poursuite de la rupture

L’aspect le plus inhabituel de l’incident est apparu après le compromis initial. Icarus aurait informé Klue qu’un autre groupe criminel avait obtenu des échantillons de données après avoir compromis les serveurs d’Icarus. Ce deuxième groupe aurait tenté d’extorquer directement et de manière indépendante les organisations concernées tout en conseillant aux victimes de ne pas faire confiance à Icare. Que chaque affirmation puisse finalement être vérifiée est moins important que la leçon stratégique qu’elle illustre. Les données volées peuvent elles-mêmes devenir une cible au sein des écosystèmes criminels.

Cette évolution modifie fondamentalement le modèle décisionnel traditionnel en matière de ransomware. Les organisations se demandent depuis longtemps si le paiement d’une rançon augmente la probabilité que les informations volées restent privées. Mais la brèche de Klue illustre une possibilité encore plus troublante. Même si une organisation pensait que les attaquants initiaux honoreraient un accord de suppression des informations volées, les criminels pourraient ne plus contrôler les données. Si les acteurs malveillants maintiennent une sécurité opérationnelle médiocre, exposent les infrastructures ou subissent eux-mêmes des compromissions, les victimes peuvent être confrontées à des campagnes d’extorsion répétées malgré le paiement de la demande initiale.

Le point de vue du RSSI

Du point de vue du RSSI, cet incident renforce une réalité inconfortable : l’identité est devenue le nouveau périmètre. Les investissements en sécurité axés exclusivement sur la protection des points finaux ou la segmentation du réseau offrent peu de protection lorsqu’une application SaaS de confiance possède déjà un accès légitime aux données de l’entreprise. Cette violation démontre également à quel point une surveillance technique apparemment insignifiante devient un risque pour l’entreprise. La cause première n’était pas un exploit avancé du jour zéro. Au lieu de cela, un identifiant inactif restait activé des années après la fin de son objectif prévu. Les professionnels de la sécurité discutent régulièrement de la réduction de la surface d’attaque, mais les comptes de service inactifs, les clés API oubliées et les intégrations obsolètes continuent d’exister au sein de nombreuses organisations.

Les échecs de gouvernance créent souvent une plus grande exposition que les logiciels malveillants sophistiqués.

Klue aurait détecté rapidement les activités suspectes, révoqué les informations d’identification, supprimé le code malveillant et engagé des spécialistes de la réponse aux incidents et des forces de l’ordre. Ces actions reflètent des processus matures de réponse aux incidents. Néanmoins, l’impact en aval s’est étendu bien au-delà de Klue, car les clients avaient délégué un accès fiable à la plateforme. La compromission est donc devenue un événement de la chaîne d’approvisionnement dans lequel la faiblesse de sécurité d’un fournisseur a propagé le risque à de nombreuses organisations en aval.

Perspectives des dirigeants

Pour les dirigeants, l’incident soulève des questions plus larges en matière de gouvernance. Les évaluations des risques liés aux fournisseurs mettent souvent l’accent sur les certifications de conformité, les questionnaires et les engagements contractuels. Beaucoup moins d’attention est accordée à la gestion du cycle de vie des comptes de service privilégiés, à la gouvernance continue des informations d’identification ou à la surveillance des autorisations d’application déléguées. Les dirigeants devraient se demander si les fournisseurs SaaS critiques éliminent régulièrement

les informations d’identification dormantes, alternez les secrets et validez en permanence les intégrations privilégiées plutôt que de vous fier uniquement aux audits annuels.

Les dirigeants doivent donc reconnaître que le paiement de rançons ne peut pas garantir de manière fiable l’exclusivité ou la certitude. La cyberextorsion ressemble de plus en plus à un marché fragmenté dans lequel plusieurs acteurs peuvent posséder des copies des mêmes informations. Les décisions en matière de risque doivent être évaluées en reconnaissant explicitement cette possibilité.

Plusieurs enseignements pratiques en ressortent :

• Les organisations doivent inventorier chaque intégration SaaS possédant un accès API privilégié et valider régulièrement la justification commerciale.
• Les comptes de service privilégiés nécessitent une propriété formelle, des politiques d’expiration et un déprovisionnement automatisé.
• Les jetons OAuth méritent la même attention en matière de gouvernance que celle appliquée historiquement aux mots de passe et aux certificats.
• Les organisations doivent surveiller en permanence les comportements anormaux des API capables de révéler une extraction de données volumineuses. Dans la brèche Klue, les attaquants d’Icarus auraient exécuté environ 1 000 requêtes en quinze minutes sur un environnement.
• Les programmes de gestion des risques tiers devraient évaluer les pratiques de sécurité opérationnelle entourant la gouvernance des identités plutôt que de considérer les certifications de conformité comme une preuve suffisante de résilience.

Point de vue du conseil d’administration

Les conseils d’administration devraient également élargir les mesures qu’ils reçoivent des responsables de la sécurité. Au lieu de mesurer uniquement les taux de clics de phishing ou le nombre de vulnérabilités, les dirigeants doivent comprendre combien d’intégrations SaaS privilégiées existent, combien de comptes de service dormants restent actifs, à quelle fréquence les autorisations des applications sont examinées et à quelle vitesse les activités suspectes des API peuvent être détectées et contenues. Ces indicateurs reflètent plus directement l’exposition de l’organisation aux environnements centrés sur le cloud.

L’incident de Klue représente bien plus qu’une simple brèche de plus. Cela démontre que les entreprises modernes héritent à la fois des forces et des faiblesses de chaque intégration fiable au sein de leur écosystème numérique. Cela révèle également que les organisations cybercriminelles ne sont ni des dépositaires unifiées ni nécessairement compétentes des informations volées. Lorsque les attaquants deviennent eux-mêmes victimes, les organisations découvrent que le risque d’extorsion ne s’arrête pas à la compromission initiale.

Après réflexion

• Comme indiqué sur le site Web Ransomware Live, Icarus est un groupe de rançon relativement nouveau dont l’activité criminelle a été identifiée pour la première fois en mai 2026. À ce jour, ils ont victimisé douze entités dans trois pays : les États-Unis, le Canada et l’Indonésie. Nous ne connaissons peut-être pas l’intégralité du rayon d’explosion provoqué par la brèche de Klue, mais il est important, avec 195 victimes présumées.
• Pour cet article, j’ai accédé à l’impressionnant Trust Center de Klue. Klue possède des badges pour la conformité SOC 2, GDPR et CCPA. De plus, Klue identifie près de 50 contrôles de sécurité répartis entre la sécurité des infrastructures, la sécurité organisationnelle, la sécurité des produits et les procédures de sécurité interne. Le Klue Trust Center fournit également un avis daté du 6 mai 2026, annonçant qu’il a terminé son audit SOC 2 Type 2 pour la période du 16 mars 2025 au 15 mars 2026. Il convient de noter que la conformité SOC 2 Type 2 doit être auditée et renouvelée sur une base annuelle. Selon la mise à jour de Klue, ils ne sont pas conformes au SOC 2 Type 2.
• En examinant la page du site Web Leadership de Klue, aucune personne n’a été identifiée dans l’équipe avec un titre de RSSI. J’ai également effectué une recherche sur LinkedIn et sur Internet et je n’ai pas trouvé d’employé de Klue titulaire d’un RSSI ou d’un titre similaire responsable de la cybersécurité de l’entreprise.

Pour les RSSI, les dirigeants et les conseils d’administration, la leçon est simple. Les relations de confiance nécessitent une gouvernance continue, l’identité est désormais une surface d’attaque principale et les organisations doivent partir du principe qu’une fois que les données quittent leur contrôle, aucune promesse criminelle ne peut restaurer la certitude. À une époque où même les pirates informatiques peuvent être piratés, la résilience – et non la confiance mal placée – reste la seule défense durable.

Cet article est publié dans le cadre du Foundry Expert Contributor Network.
Voulez-vous nous rejoindre ?