Violação na Klue expõe dados de clientes da LastPass e de gigantes da cibersegurança
Tokens OAuth roubados de um fornecedor de inteligência de mercado abriram o Salesforce de dezenas de empresas, da LastPass à Recorded Future.
A LastPass confirmou em 23 de junho que invasores roubaram dados de seus clientes em uma violação na cadeia de suprimentos originada na Klue, plataforma de inteligência competitiva integrada ao seu ambiente Salesforce. O caso não atingiu a infraestrutura, os produtos nem os cofres de senha da empresa, mas expôs nomes, telefones, e-mails, endereços físicos e — o ponto mais sensível — dados de casos de suporte e de vendas armazenados no CRM.
O vetor é o que torna o episódio relevante para a governança: um terceiro com acesso autorizado por tokens OAuth virou porta de entrada para o dado corporativo. A Klue identificou a atividade não autorizada em 12 de junho e avisou clientes no mesmo dia, depois que um agente obteve tokens OAuth de diversos clientes e os usou para entrar nos respectivos ambientes Salesforce.
No Brasil, um incidente desse tipo aciona o art. 48 da LGPD e o Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024), que fixa prazo de três dias úteis para o controlador comunicar ANPD e titulares quando há risco ou dano relevante.
Klue repete o roteiro de Salesloft Drift e Gainsight
A Klue não é a primeira plataforma a servir de ponte para o Salesforce de seus clientes. O incidente segue o mesmo roteiro dos comprometimentos da Salesloft Drift, em agosto de 2025, e da Gainsight — campanhas em que tokens OAuth de integrações confiáveis foram abusados para extrair dados de CRM em massa, atribuídas pela ReliaQuest aos grupos ShinyHunters e UNC6395.
O que falhou na Klue tem nome conhecido nas auditorias: uma credencial legada. Segundo a Huntress, o acesso inicial veio de uma credencial "dormente, mas ainda ativa", criada para testar uma integração de terceiros que nunca chegou a ser implantada. Com ela, os invasores entraram na infraestrutura da Klue e subiram um código capaz de colher os tokens OAuth dos clientes.
A Klue lista cerca de 500 clientes, entre eles Adobe, Dell e Shopify, e empregava mais de 200 pessoas após cortar cerca de 100 vagas em junho de 2025 — um pano de fundo que ajuda a explicar por que credenciais antigas seguiam vivas e sem monitoramento.
Dado de suporte vira munição de phishing
Para o jurídico e o compliance de quem usa essas plataformas, o roubo de dados de casos de suporte é o detalhe que muda o cálculo de risco. Tíquetes de atendimento costumam carregar fragmentos sensíveis — problemas de cobrança, pedidos de recuperação de conta — e, em incidentes anteriores no setor, já incluíram credenciais e documentos de identidade.
A própria LastPass orientou clientes a redobrar a atenção contra phishing e engenharia social que explorem os dados de contato vazados, e reforçou que nunca pede a senha-mestre. A Jamf foi além e alertou para campanhas em que criminosos se passam por funcionários da empresa.
No desenho da LGPD, o ponto prático é a cadeia de responsabilidade: quando o incidente nasce em um fornecedor que atua como operador, ele deve informar o controlador sem demora injustificada e repassar todas as informações necessárias. É o controlador, porém, quem responde pela comunicação à ANPD e aos titulares e quem fica exposto à sanção — que pode chegar a 2% do faturamento.
Lista de vítimas reúne quem vende defesa
O que a alta gestão tem cobrado nesses casos é a dimensão da exposição — e ela é desconfortável. Pelo menos nove organizações já confirmaram roubo de dados via Klue, segundo a SecurityWeek: HackerOne, Huntress, Jamf, OneTrust, Recorded Future, Snyk, Sprout Social, Insurity e Tanium, além da Gong, que viu dados de usuários licenciados acessados.
A ironia não passou despercebida: boa parte das vítimas vende exatamente a defesa contra ataques de cadeia de suprimentos. A Recorded Future, hoje subsidiária da Mastercard após aquisição de US$ 2,65 bilhões, é uma das maiores provedoras de inteligência de ameaças do mundo.
As empresas afetadas convergiram numa mesma mensagem ao reportar o caso a seus clientes: o comprometimento ficou restrito à camada de integração Klue–Salesforce, sem alcançar produtos, infraestrutura ou telemetria. É a substância da pergunta que todo board faz — se o ataque chegou ao núcleo da operação — respondida publicamente para conter o dano reputacional.
Integração de terceiros entra no inventário de risco
A ReliaQuest, que detectou o ataque, descreveu o método que tende a se repetir: autenticação pela conta de serviço da integração Klue, geração de tokens OAuth e scripts automatizados puxando registros via API REST do Salesforce ao longo de cerca de 24 horas — incluindo uma rajada de quase mil consultas em 15 minutos.
O recado para a governança é direto: identidades não humanas, como integrações com acesso persistente e amplo, costumam ser monitoradas com muito menos rigor do que contas de funcionários. Foi essa lacuna que permitiu um loop de extração rodar por horas a partir de uma conta "confiável".
A firma avalia como altamente provável que invasores sigam mirando integrações de terceiros conectadas ao Salesforce pelo resto de 2026 — o roteiro é repetível e já amplamente adotado. A recomendação operacional é rotacionar credenciais e tokens, inclusive os de atualização, caçar volumes anômalos de consultas na API e restringir o acesso por lista de IPs aprovados. Todo aplicativo com OAuth sobre uma plataforma central passa a ser superfície de ataque a inventariar e escopar ao mínimo privilégio.
Quem fez o ataque ainda divide os analistas
A autoria do ataque permanece em disputa entre as fontes técnicas. A Huntress diz ter alta confiança de que o responsável é o Icarus, grupo de extorsão ativo desde abril de 2026, com base na correspondência entre o ID do Session Messenger usado na extorsão e o anunciado no site de vazamento do grupo.
A ReliaQuest é mais cautelosa: o objetivo e o método lembram o ShinyHunters, mas as ferramentas divergem das campanhas atribuídas ao UNC6395 — aqui se usou um user-agent genérico Python-urllib e hospedagem em datacenter, não a infraestrutura anônima típica. Para a firma, não há evidência para confirmar nem descartar os grupos conhecidos.
O Icarus listou a Klue em seu site, chamou os dados de "emprestados, não roubados" e fixou 22 de junho como prazo para as vítimas negociarem, passando a publicar dados parciais em seguida. A Klue acionou a CrowdStrike para a perícia e notificou autoridades; nenhuma das empresas afetadas indicou intenção de negociar com o grupo.
Na data de 6 de julho de 2026, momento da publicação desta notícia compilada, todos os links estavam disponíveis. Não nos responsabilizamos nem controlamos eventuais alterações, remoções das URLs ou modificações no conteúdo das fontes consultadas.
