Huntress・Recorded Future含む複数企業がKlue経由のサプライチェーン攻撃で被害|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年06月23日更新日時: 2026年06月23日

サイバーセキュリティ企業のHuntressとRecorded Futureは、市場インテリジェンスプラットフォーム「Klue」を起点としたサプライチェーン攻撃の影響を受けたことを公表しました。

攻撃は2026年6月11日に開始し、ソフトウェアプラットフォーム連携に関連するシステムに影響を与えました。

攻撃者はKlueのバックエンドサーバーに接続して不正なコマンドを実行し、顧客のKlue連携用OAuthトークンを収集するコード更新を展開しました。

Klueは6月12日に顧客へインシデントを通知し、全顧客のOAuthトークンを無効化、Salesforce・HubSpot・SharePoint・Zoom・Gong・Chorus・Clari・Google Drive・Slackとの連携を無効化したことを警告しています。脅威インテリジェンス企業ReliaQuestによれば、攻撃者はSalesforceのREST APIを悪用し、24時間の時間枠で大量のCRM（顧客関係管理）データを抽出しました。Huntressは新興の恐喝グループ「Icarus」（2026年4月から活動）が本件の犯人である可能性が高いと結論づけており、Icarusは「Mr Brean」を名乗る人物からの恐喝メッセージを通じて特定されました。本記事ではSecurityWeek・Huntress・ReliaQuest・The Hacker Newsの報道をもとに、攻撃の経緯・技術的手口・影響範囲・対応手順を解説します。

サマリー

被害組織（公表済み）：Huntress・Recorded Future・その他複数のKlue顧客（Tanium・Jamf・Sprout Social・Gong・Insurity等が報じられている）
攻撃開始日：2026年6月11日
Klueによる検知日：2026年6月12日
攻撃の起点：Klueが過去にサードパーティ連携をプロトタイプ開発するために作成し、その連携自体は最終的に展開されないまま長期間放置されていた休眠認証情報
攻撃の手口：
1. 攻撃者が休眠認証情報を使ってKlueのバックエンドインフラへアクセス
2. リモートアクセスを確立し、コマンドを実行
3. 顧客のOAuthトークン（リフレッシュトークン含む）を収集する悪意あるコード更新をKlueのシステムに展開
4. 窃取したOAuthトークンを使い、顧客のSalesforce環境へ直接クエリを実行
5. Pythonスクリプトを使った自動化されたクエリでSalesforce REST APIから大量データを抽出
抽出量の規模：ある環境では15分間で約1,000件のクエリが集中。6時間を超える持続的な抽出ウィンドウも観測（ReliaQuest確認）
Klueの対応：
- 全顧客のOAuth認証情報を無効化
- Salesforce・HubSpot・SharePoint・Zoom・Gong・Chorus・Clari・Google Drive・Slack連携を無効化
- 不正コードの削除・調査開始・法執行機関への通報
- CrowdStrikeをインシデント対応に起用
Salesforceの対応：6月17日、「Klue Battlecards」アプリとの連携を無効化。「この問題はKlueのアプリ連携に限定されており、Salesforceプラットフォーム自体の脆弱性に起因するものではない」と説明
攻撃者の正体：恐喝グループ「Icarus」（2026年4月28日から活動。エイリアス「Mr Brean」/署名「mb」）
帰属の根拠：恐喝メールに記載されたSession Messenger IDが、Icarusのダークウェブリークサイトに掲載されたIDと一致。両者で同時に修正されたIDの変遷も追跡
Icarusのリークサイト：2026年6月19日時点でKlueを正式に被害者として掲載
既知のIOC（攻撃元IPアドレス）：138.226.246.94・212.86.125.24・213.111.148.90・94.154.32.160（オランダ・フランス・ウクライナのISPに帰属）
被害を受けたデータの種類：ビジネス連絡先・価格見積もり・営業関連のコミュニケーション・競合インテリジェンスレポート・アカウントデータ
被害を受けなかったもの（Huntress確認）：脅威インテリジェンスデータ・顧客テレメトリ・パスワード・決済カード情報・エンジニアリングシステム
類似する過去の攻撃パターン：2025〜2026年にSalesforce環境を揺るがしたSalesloft Drift・Gainsightの侵害と同じ「サードパーティOAuth悪用」の手口に酷似。ただしIcarusは過去のShinyHunters・UNC6395とは異なる新たな脅威主体と評価
恐喝の手口：Huntressの従業員に「48時間以内に連絡しなければデータを公開する」という脅迫メールが届く
Klueの規模：2025年9月時点で19万人のユーザーを抱えていたと報告

1 攻撃の技術的詳細—「20年前のプロトタイプ用認証情報」が招いた侵害
2 攻撃者の特定—「Icarus」という新興恐喝グループ
- 2.1 Icarusの素性——2026年4月から活動する新興グループ
- 2.2 過去の類似攻撃との関係——ShinyHunters・UNC6395とは別系統
3 Klue・Salesforceの対応タイムライン
4 被害企業ごとの影響範囲
5 推奨される対応手順
6 情報システム担当者への教訓——「非人間アイデンティティ」のリスク管理
7 FAQ
8 参考情報

攻撃の技術的詳細—「20年前のプロトタイプ用認証情報」が招いた侵害

初期アクセス——使われなかった連携のために作られた休眠アカウント

Huntressの調査によれば、今回の侵害の出発点は**「長期間使われていないが、まだ有効だった認証情報」**でした。この認証情報は元々、Klueがサードパーティ連携をプロトタイプとして試作するために作成したものでしたが、その連携自体は最終的に本番展開されることなく放棄され、認証情報だけが無効化されないまま残されていました。

攻撃者はこの休眠認証情報を悪用してKlueの環境へ初期アクセスを獲得し、そこからKlueのインフラへと侵入を拡大しました。

コード更新を悪用したOAuthトークンの大量収集

侵入後、攻撃者はKlueのバックエンドシステムに悪意あるコード更新を展開しました。このコードは、Klueの顧客がSalesforce・HubSpot・SharePoint・Zoom・Gong等の外部サービスとKlueを連携させる際に使用するOAuthトークン（リフレッシュトークンを含む）を収集する機能を持っていました。

これにより攻撃者は、Klue自体への侵入だけでなく、**Klueと連携している多数の顧客企業のSalesforce環境へ直接アクセスできる「鍵」**を一括して入手することに成功しました。

Salesforce REST APIを悪用した大規模データ抽出

ReliaQuestの分析によれば、攻撃者は窃取したOAuthトークンを使い、Pythonの自動化スクリプトを用いてSalesforceのREST APIに対し約24時間にわたるクエリを実行しました。

具体的な手口は以下のとおりです。

①偵察フェーズ：/services/data/v59.0/sobjectsエンドポイントを通じて、各組織のSalesforceオブジェクトカタログを列挙し、価値のあるデータを特定

②抽出フェーズ：/services/data/v59.0/query/<STRING>エンドポイントを使い、特定したデータを一括抽出

ReliaQuestは「攻撃者はある環境ではSalesforceオブジェクトをゆっくりとマッピングして価値あるオブジェクトを特定し、欲しいものが分かった時点で急速にデータを盗み出した」と説明しています。観測された中では、ある環境において15分間で約1,000件のクエリが同一エンドポイントに集中するという急激な抽出パターンも確認されています。

ReliaQuestのスポークスパーソンはDark Readingに対し、この24時間という時間枠は「中断された攻撃というより、バルク抽出（一括抽出）作戦に一致する」と説明し、「攻撃者は利用可能なデータを列挙し、アクセス可能なものを抽出して立ち去ったように見える。あるいは、同じ時間枠で他の標的に対するツールの設定・データ抽出を行っていた可能性もある」と分析しています。

攻撃者の特定—「Icarus」という新興恐喝グループ

Huntressは、自社の従業員が受け取った恐喝メールに記載されていたSession Messenger ID（暗号化メッセージングサービスのID）が、ダークウェブ上のIcarusのリークサイトに掲載されたIDと一致したことから、本件の攻撃者をIcarusと特定しました。

注目すべき点として、メール内のIDとリークサイトのIDが修正された際、両方が同期して変更されたことも確認されており、これが帰属の確度を高める追加の証拠となっています。

Icarusの素性——2026年4月から活動する新興グループ

Huntressのセキュリティ研究者John Hammond氏はThe Hacker Newsに対し、現段階でIcarusが過去のSalesforce関連攻撃と関連しているという兆候はないと述べています。「私たちの知る限り、Icarusは過去のSalesforce関連インシデントとは関連・関与していないようだ。彼らのリークサイトには2026年4月以降から活動しているとあり、過去のSalesforceキャンペーンとは無関係な被害者を2件のみ示している」。

Icarusのリークサイトには、2026年5月初旬の侵入に対応する最初の被害者エントリーがあり、「shawty sorry for leaking ur data. dm to resolve.」という挑発的なメッセージも投稿されています。当初は窃取データのサンプルがファイル共有サイト「gofile.io」でホストされていましたが、6月17日時点でこのコンテンツは利用不可能になっていました。2026年6月19日には、IcarusがKlueを正式に被害者としてリークサイトに掲載しています。

過去の類似攻撃との関係——ShinyHunters・UNC6395とは別系統

ReliaQuestの分析によれば、今回の活動パターンは2025〜2026年にSalesforceエコシステムを揺るがした「Salesloft Drift」「Gainsight」侵害と同じ「サードパーティOAuth悪用」の手口を踏襲しています。「共通する糸は、信頼されたサードパーティベンダーからのOAuthトークンまたは認証情報の悪用だ。こうした連携は永続的かつ往々にして広範なアクセス権を持つ『非人間アイデンティティ』だが、従業員アカウントほど厳密に監視されることが少ない。このギャップこそが、24時間にわたる自動クエリループが『信頼された』連携アカウントから通常の警報を作動させることなく実行できた理由だ」とReliaQuestは指摘しています。

ただし、Ampcus Cyberの分析によれば、今回使用されたツールはUNC6395（python-requests・Salesforce-CLI・Salesforce-Multi-Org-Fetcherを使用し、多くの場合Tor経由）とは異なり、汎用的なPython-urllibとデータセンター/VPSホスティングが使用されています。ReliaQuestは「目的とアプローチはShinyHuntersに似ているが、最も近い類似事例（Driftのトークン悪用）はUNC6395に結びつく」としつつも、どちらのグループであるかを確認・除外することはできなかったとしています。

Klue・Salesforceの対応タイムライン

日付	出来事
2026年6月11日	Klueのインフラで異常な挙動を検知。攻撃者がコード更新を展開しOAuthトークン収集を開始
2026年6月12日	Klueが不正な活動を発見。調査を開始。リモートアクセスの無効化・トークン窃取コードの削除を実施。顧客へ一般的なアラートを発出（影響を受けた顧客の特定は当初なし）
2026年6月13日	OAuth認証情報・連携を無効化したことを正式通知
2026年6月16日	Huntressの従業員に「top secret email」という件名の恐喝メールが到着。「データはダウンロードされた。48時間以内に連絡せよ」という脅迫文言
2026年6月17日（水）	Salesforceが「Klue Battlecards」アプリとの連携を無効化したことを公式発表
2026年6月18日（木）	Klue CEOのJason Smith氏が、認証情報・トークンの取り消し、不正コードの削除、影響を受けた連携の無効化、法執行機関への通報を実施したことを表明。Huntressが詳細な調査結果を公開
2026年6月19日	Icarusがリークサイトに正式にKlueを被害者として掲載

被害企業ごとの影響範囲

Huntress

業務連絡先・価格見積もり・その他の営業関連データとメッセージングが窃取されたことを確認。脅威インテリジェンスデータ・顧客テレメトリ・パスワード・決済カード情報・エンジニアリングデータは影響を受けていないと明言しています。

Recorded Future

統合層を通じた偶発的な情報露出を確認。影響を受けたフィールドは、顧客名・契約関連フィールド・メールアドレスといったSalesforceデータベースの内容に限定され、コアプラットフォームのインフラには影響がなかったとしています。

Klue自身

Klue CEOのJason Smith氏は「現在までの調査に基づき、本件は影響を受けたサードパーティプラットフォームに限定されており、Klueプラットフォーム内に保存されている顧客コンテンツが影響を受けたという証拠はない」と述べています。

推奨される対応手順

① Klue連携に関連するすべての認証情報のローテーション

ReliaQuestは「Klue連携に紐づくすべてのもの——サービスアカウントのパスワード・リフレッシュトークン・クライアントシークレット・有効なOAuthグラント——を直ちに失効・再発行する」よう強く推奨しています。

② Salesforce APIアクティビティの確認

Salesforce・GongのAPIログを精査し、以下のパターンの異常なアクティビティがないか確認してください。

通常と異なる高頻度のREST APIクエリ
反復的なQueryMoreページネーション
上記で示されたユーザーエージェント（Python-urllib/3.12・Python-urllib/3.14等）
IOCに記載されたIPアドレスからのアクセス：138.226.246.94・212.86.125.24・213.111.148.90・94.154.32.160

③ IP許可リストの実施

サードパーティ連携アカウント・接続アプリへのアクセスを、承認済みのソース以外からブロックするIP許可リストを実施してください。

④ SIEM・SOARのAPIアクセス制限

ReliaQuestは「SIEM・SOARのAPIアクセスについても、既知の許可リスト済みインフラに制限する」ことを推奨しています。

⑤ サードパーティSaaS連携の定期的な棚卸し

今回の事案が示す重要な教訓は、長期間使われていない「休眠」連携・認証情報が、サプライチェーン攻撃の侵入口になりうるという点です。組織内で過去にプロトタイプとして作成され、本番展開されることなく放置されている連携・APIキー・サービスアカウントがないか、定期的な棚卸しを実施してください。

情報システム担当者への教訓——「非人間アイデンティティ」のリスク管理

今回の事案は、SaaS連携アカウント（非人間アイデンティティ）が組織のセキュリティ監視における盲点になりやすいことを改めて示しています。Obsidian Securityは「SaaSサプライチェーン侵害は加速している。脅威アクターは個別の組織を標的にすることから、組織が信頼するSaaSベンダーを標的にすることへとシフトしている。なぜなら一つのベンダーを侵害すれば、何百もの企業環境へのアクセスを一度に得られるからだ」と指摘しています。

①SaaS連携の永続的なアクセス権限の可視化：自社が利用するすべてのSaaS連携・OAuth認証・APIキーを一元管理し、誰が・いつ・なぜそのアクセス権限を付与したかを追跡できる体制を構築してください。これは当サイトが既報した1Password社によるApono社買収が示す「ジャストインタイムアクセス管理」の重要性とも重なります。

②使われなくなった連携・認証情報の即時無効化：プロトタイプ開発・テスト目的で作成された認証情報は、その目的を終えた時点で速やかに失効させる運用を徹底してください。「使われていないが有効なまま」という状態こそが、今回の侵害の出発点でした。

③ベンダーリスク管理の強化：自社が連携しているSaaSベンダーのセキュリティ体制を評価し、ベンダー側での侵害が自社のデータにどう波及するかを事前に想定したインシデント対応計画を整備してください。