Klue-datalek: Rivaliserende hackers persen slachtoffers van Icarus Group opnieuw af

Een leverancierslek dat steeds erger werd

Toen bekend werd dat het marktinformatieplatform Klue te maken had met een datalek, leek het verhaal aanvankelijk bekend: een gecompromitteerde inloggegevens, een ongeautoriseerde login en een golf van downstreamorganisaties die haastig de eigen blootstelling in kaart brachten. Aanvallers, naar verluidt gelieerd aan een groep die zichzelf Icarus noemt, kregen tussen 11 en 12 juni toegang tot de omgeving van Klue. Ze misbruikten daarbij een verouderd wachtwoord van een integratieserviceaccount dat na afloop van een beperkt pilotprogramma nooit was ingetrokken. Er stond geen multifactorauthenticatie in de weg.

Dat alleen al had genoeg geweest voor een redelijk standaard verhaal over supply chain-beveiliging. Maar het datalek bij Klue nam een ongebruikelijke wending. Een tweede groep zou de gestolen gegevens hebben bemachtigd en begon onafhankelijk dezelfde getroffen organisaties af te persen, waarbij ze slachtoffers expliciet vertelden Icarus niet te vertrouwen. Met andere woorden: de hackers werden zelf gehackt, en de gestolen klantdata veranderde in een waarover in het criminele circuit werd gevochten – niet langer slechts een onderhandelingsmunt tussen aanvaller en slachtoffer.

Waarom dit de calculatie rond ransomware verandert

Jarenlang hadden organisaties die met een ransomware- of afpersingseis te maken kregen te maken met een bekende afweging: betalen en hopen dat de aanvaller de data wist, of weigeren en het risico op openbaarmaking lopen. Het incident bij Klue maakt die logica aanzienlijk complexer. Als gestolen data doorverkocht, opnieuw gestolen of hergebruikt kan worden door een concurrerende criminele groep nadat het slachtoffer al heeft betaald of onderhandeld, gaat de aanname dat één enkele betaling de dreiging oplost niet langer op.

Dat is vooral van belang voor privacy, omdat de personen van wie de gegevens in deze systemen zitten – klanten, prospects en medewerkers die in verkoop- of intelligence-data voorkomen – geen zicht hebben op hoeveel partijen nu over kopieën van hun gegevens beschikken. Een datalekmelding waarin één aanvallersgroep wordt beschreven, geeft de werkelijke blootstelling te laag weer als een tweede, niet-gerelateerde groep onafhankelijk dezelfde dataset te gelde maakt. Voor alledaagse gebruikers onderstreept dit een les die ook opgaat voor beveiligde berichten- en communicatietools: aanvallers richten zich in toenemende mate op de zwakste schakel in een vertrouwensketen, in plaats van op de technologie zelf. Ditzelfde patroon is te zien in berichtgeving over waarom Signal-gebruikers worden gehackt, niet de app, waarbij het onderliggende platform robuust is maar menselijke en procedurele tekortkomingen de opening creëren.

De echte faalpunt: leveranciershygiëne, niet geavanceerde technieken

Wat opvalt aan het Klue-datalek is hoe alledaags de initiële inbraak was. Geen zero-day exploit, geen nieuwe malware en geen staatsgeheime methoden. Volgens berichten maakten de aanvallers gebruik van een verouderd wachtwoord dat hoorde bij een integratieaccount dat Klue kennelijk niet had gedeactiveerd na afloop van een pilotprogramma, en dat account was niet beschermd met multifactorauthenticatie. Die combinatie – een verweesd wachtwoord en geen MFA – is een van de meest voorkomende en te voorkomen faalmechanismen in enterprise security.

Dat is belangrijk voor de privacy-discussie, omdat het laat zien dat het risico voor persoonlijke en bedrijfsgegevens vaak niet voortkomt uit de geavanceerdheid van aanvallers, maar uit routinematige administratieve nalatigheid bij externe leveranciers, die klanten zelf nauwelijks direct kunnen auditen. Organisaties die het platform van Klue gebruiken, inclusief de Salesforce-integratie, kwamen in de gevarenzone terecht, niet door eigen handelen, maar door hoe een leverancier aan de achterkant met toegangscredentials omging.

Wat dit voor u betekent

Als jouw organisatie externe leveranciers gebruikt die integreren met kernsystemen zoals Salesforce, HR-platforms of klantendatabases, is het datalek bij Klue een herinnering dat de veiligheid van jouw gegevens afhangt van beveiligingspraktijken die je niet volledig kunt zien of beheersen. Vraag leveranciers rechtstreeks of verouderde of pilot-credentials worden geaudit en gedeactiveerd en of MFA verplicht is op elk integratiepunt, niet alleen op primaire gebruikerslogins.

Voor individuen van wie de informatie als klant, lead of contact in de systemen van leveranciers staat, is het goed te onthouden dat een datalekmelding mogelijk alleen de eerst bekende actor beschrijft die toegang tot jouw gegevens had. Zoals de zaak Klue aantoont, kunnen gestolen records verder circuleren binnen criminele netwerken, wat soms leidt tot secundaire afpersingspogingen die niets te maken hebben met de oorspronkelijke melding.

Adviezen om externe risico’s te beperken

Het Klue-datalek onderstreept dat cyberrisico van derden geen hypothetisch agendapunt in een compliance-rapport is. Het is een actieve, evoluerende dreiging waarbij gestolen data lang na het eerste incident verkocht, opnieuw gestolen of onafhankelijk te gelde gemaakt kan worden. Bedrijven moeten credentialhygiëne bij leveranciers, inclusief het tijdig intrekken van ongebruikte integratieaccounts en het universeel verplicht stellen van MFA, als minimale basisvoorwaarde hanteren in plaats van als best practice. Individuen dienen alert te blijven op onverwachte afpersings- of phishingpogingen die verwijzen naar persoonlijke details, zelfs van partijen die losstaan van de oorspronkelijke datalekmelding, omdat die gegevens nu mogelijk veel breder circuleren dan het eerste compromitteringspunt.