LastPassのSalesforce環境の顧客データへの不正アクセス
- タグ
- 国外
LastPassの2026年6月22日の発表によると、市場情報プラットフォームのKlueが保持していたOAuthトークンを権限のない者が入手し、そのトークンでLastPassのSalesforce環境にある顧客データにアクセスした［1］。是正は完了し、露出したKlueのOAuthトークンはローテーション済みである［1］。
経緯
LastPassは、Klueを自社のgo-to-marketのチームが使うサードパーティーの市場情報プラットフォームで、LastPassのSalesforceとGongのシステムと連携していると説明した［1］。このインシデントはLastPassを含む多くの企業に広く影響した［1］。
Klueの7月1日の調査結果の要約によると、CrowdStrikeは、脅威アクターが連携サービスに関わるもの以外のKlueのシステムにアクセスした証拠を見つけなかった［3］。6月12日より後のKlueの環境に、脅威アクターが活動した証拠は無い［3］。
KlueのCTOは7月31日の解説で、侵入はKlueのGitHub環境にアクセスできるGitHubの個人アクセストークン（PAT）〔注1〕から始まり、2つの段階で進んだと説明した［5］。第1段階で攻撃者はソースコードをダウンロードし、別のPATを入手したうえで、見つけた追加の認証情報が有効かどうかを試した［5］。第2段階ではビルドとデプロイの経路から権限のないコードを入れ、改ざんしたワークロードが本番に展開された［5］。数分のうちに悪性コードが連携の認証情報を送り出し、保存されたOAuthトークンへの権限のないアクセスを可能にした［5］。
Klueの同じ解説では、最初のPATは2022年にサードパーティーのベンダーの試験プロジェクトのために作られ、関連するビルド成果物は本番に展開されなかったが、KlueのGitHub環境にアクセスできる状態が残っていた［5］。封じ込めは6月12日に終わった［5］。
Klueは既存の統制の働きとして、mainブランチの保護が悪性の変更を直接pushする試みを拒んだと説明した［5］。接続先のプラットフォームの1つでは、認証情報の読み取り専用の範囲が攻撃者のその先の行動を制限した［5］。広範なログは、攻撃の再構成と、Klueから持ち出された情報の量の評価に役立った［5］。
当局と観測主体が挙げた攻撃者
米国金融取引業規制機構（FINRA）の警告によると、攻撃者はIcarusで、Klueのバックエンドにアクセスし、Battlecardsの連携に使う顧客のOAuthトークンを盗んだ［9］。盗んだトークンで接続先のSalesforceに直接アクセスし、自動化したPythonスクリプトでCRMデータを一括で持ち出した［9］。Icarusは少なくとも4月から活動し、「mr bean」の名で被害組織に恐喝のメールを送り、Tor上のリークサイトに被害組織を載せている［9］。
Huntressは、6月16日から自社の一部の社員に恐喝のメールが届き始めたと報告した［10］。6月22日には、IcarusがHuntressほか数社のデータをリークサイトに載せた［10］。別の権限のない者もこの件に関わるデータへのアクセスを主張して200社近くの企業名を挙げたが、Huntressはその主張が未検証だと書いた［10］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | 脅威アクター | 以前に侵害されたGitHubの個人アクセストークンでKlueの連携サービスに権限のないコードを入れ、SalesforceのOAuthのアクセストークンとリフレッシュトークンを含む認証情報を集めた | ［3］ |
| 2026年 | Salesforce | Klueに、API連携サービスから発した権限のない第三者の活動の疑いを通知した | ［3］ |
| 2026年 | Klue | 影響を受けたGKEのポッドと侵害されたPATを無効にしてOAuthの認証情報をローテーションし、ステータスページにデータ同期の連携の問題を掲載した | ［3、6］ |
| 2026年 | LastPass | Klueで起きたインシデントを知らされた | ［1］ |
| 2026年 | Klue | どの顧客が影響を受けたかを示さない一般的な警告を顧客に出した | ［10］ |
| 2026年 | Klue | CEO名の告知を出し、連携を一時的に切断していると説明した | ［2］ |
| 2026年 | Gong | Klueのセキュリティインシデントの告知を出した | ［8］ |
| 2026年 | Icarus | リークサイトにKlueを被害組織として載せた | ［10］ |
| 2026年 | LastPass | 顧客向けの告知を出した | ［1］ |
| 2026年 | CrowdStrike | Klueの調査を終えた | ［3］ |
| 2026年 | Klue | CrowdStrikeの調査結果の要約を公開した | ［3］ |
| 2026年 | Klue | ステータスページの投稿を解決済みにした | ［6］ |
| 2026年 | Klue | SalesforceとGongがそれぞれのマーケットプレイスでKlueの連携を再開したと公表した | ［4］ |
| 2026年 | Klue | CTO名で侵入の経緯と対策を公表した | ［5］ |
影響範囲
LastPassの会社概要のページでは、LastPassは2008年に創業し、本社をボストンに置く［7］。10万を超える組織と数百万人がLastPassを使っている［7］。
LastPassは、アクセスされた情報は標準的な業務上の連絡先情報と関連するCRM（顧客関係管理）のデータに限られると説明した［1］。顧客の氏名、電話番号、メールアドレス、住所のほか、サポートケースのデータと営業関連のデータを含む［1］。インシデントの範囲はKlueのアプリケーションと連携するシステムだけで、LastPassの製品・サービス・インフラには一切影響が無く、顧客の保管庫（vault）は安全なままだとした［1］。脅威アクターがGongに関するデータにアクセスした証拠は無い［1］。
Klueの6月18日の告知では、攻撃者はKlueとSalesforceを含むサードパーティーのプラットフォームを結ぶOAuthトークンを入手し、接続された複数の顧客環境のデータにアクセスした［2］。それまでの調査では、影響はそれらのプラットフォームに限られ、Klueのプラットフォームに保存された顧客のコンテンツに影響した証拠は無い［2］。
連携先のGongへの影響
Gongは6月19日の告知で、権限のない者がKlueの連携サービスにアクセスしたとの通知をKlueから受けたと説明し、Gong自身の製品・システムへの直接の侵害ではないとした［8］。Klueが提供した不審なIPアドレスをもとに、Klue連携を使う顧客の一部で、社内のライセンス利用者のデータにアクセスされた可能性があるとした［8］。データの例はユーザー名、役職、メールアドレスで、通話の録音と書き起こしへの直接の影響は無い［8］。
ほかのKlue利用企業
FINRAは警告で、LastPassを含む12を超える組織が影響を確認したと会員企業に知らせた［9］。警告に名前のある組織は、LastPassのほか8x8、Pendo、Huntress、BeyondTrustなど14組織である［9］。
SecurityWeekは6月24日の記事で、LastPassに加え8x8とPendoがその週に影響を公表したと報じた［11］。Icarusのリークサイトには影響を公表していない企業が少なくとも4社載っており、被害組織は約15になるとした［11］。
対応と現状
LastPassの社内の措置
- 全従業員のKlueへのアクセスを止めた［1］。
- KlueとSalesforceの双方の窓口と協力し、事象の範囲の詳細な調査を始めた［1］。
- 法執行機関に通報し、協力している［1］。
- TIMEチーム（Threat Intelligence, Mitigation, and Escalation）を通じて、セキュリティコミュニティと情報・戦術・技術・手順を共有している［1］。
- 同様のインシデントに備え、追加の安全策の実施と手順の強化を進めている［1］。
LastPassは顧客に、露出した連絡先を悪用しうるフィッシング攻撃やソーシャルエンジニアリングの試みへの警戒を勧めた［1］。メール、電話、機密情報の要求を含む一方的な連絡に注意するよう求め、LastPassの社員がマスターパスワードを尋ねることは決してないと説明した［1］。告知の付録には、侵害の痕跡としてIPアドレス4件とメール送信元ドメイン3件を載せた〔注2〕［1］。
Klueと連携先の措置
Klueの6月18日の告知によると、Klueは影響を受けた認証情報とトークンを失効させ、権限のないコードを除き、影響の可能性のある連携を無効にした［2］。調査を始めて法執行機関に通報し、影響を受けた顧客には具体的な是正の手引きを直接共有した［2］。調査と対応の検証のため、CrowdStrikeに依頼した［2］。
Klueは7月1日の要約で、GitHubのPATを無効にし、GitHub Appsと短命の認証情報に移したと説明した［3］。監査ログの強化、SIEMへの集約、EDR、CI/CDの実行時のネットワーク制御、承認済みのGitHub Actionsの許可リストも入れた［3］。CrowdStrike FalconのプラットフォームをKlueの環境に入れ、CrowdStrikeが監視している［3］。
FINRAの警告によると、SalesforceとGongはKlue Battlecardsの連携を無効にした［9］。Gongは、Klue連携に関わるアクセスとトークンをすべて無効にし、不審なIPアドレスを遮断して、Klueの利用者からGongのAPIへの要求をすべて止めた［8］。顧客は追って通知があるまでKlue連携を接続できないとした［8］。
Klueの7月27日の告知では、SalesforceとGongによる連携の再開は、CrowdStrikeが対応と是正を独立して検証した後だった［4］。Klueの外向きの通信は、すべてSalesforceとGongが許可リストに入れた固定の送信元IPを通る［4］。PKCEを全体で必須にし、OAuthトークンの有効期間の方針を厳しくした［4］。
未公表の事項
注
出典
当事者
- ［1］LastPass US LP『Klue Supply Chain Incident & LastPass Response』（2026年6月22日公開）
関係組織
- ［2］Klue Labs『An Update on the Recent Klue Security Incident』（2026年6月18日公開、2026年7月10日更新）
- ［3］Klue Labs『CrowdStrike Investigation Summary and Security Improvements』（2026年7月1日公開、2026年7月10日更新）
- ［4］Klue Labs『Integrations Restored: Salesforce and Gong Reconnected』（2026年7月27日公開、2026年8月4日更新）
- ［5］Klue Labs『What a Security Incident Taught Us About Securing a Modern SaaS Platform』（2026年7月31日公開、2026年8月4日更新）
- ［6］Klue Labs『Data Sync Integration Issues』（2026年6月12日公開、2026年7月7日更新）
- ［8］Gong.io Ltd『Klue Security Incident』（2026年6月19日公開）
公的機関
- ［9］Financial Industry Regulatory Authority『Cybersecurity Alert: Klue OAuth Breach and Salesforce Data Exfiltration』（公開日不明、2026年11月4日閲覧）
調査・観測
- ［10］Huntress Labs『Cybercrime Breaches Klue: Salesforce Data Impacted for Many Victims, including Huntress』（2026年6月18日公開、2026年6月24日更新）
報道機関
- ［11］Wired Business Media『BeyondTrust, LastPass Impacted by Klue-Salesforce Incident』（2026年6月24日公開）
背景資料
- ［7］LastPass US LP『About LastPass』（公開日不明、2026年11月4日閲覧）
更新記録
- 2026年6月24日：公開した。
- 2026年7月1日：Klue Labsの7月1日の調査結果の要約（出典3）で示された侵入の日付と封じ込めの措置、Klueの対策を「経緯」「時系列」「対応と現状」に加えた。
- 2026年7月7日：Klue Labsのステータスページの7月7日の更新（出典6）で投稿が解決済みになったことを「時系列」に加えた。
- 2026年7月10日：Klue Labsの告知（出典2）と調査結果の要約（出典3）の7月10日の更新版に合わせ、「経緯」「対応と現状」を改めた。
- 2026年7月27日：Klue Labsの7月27日の告知（出典4）で示された連携の再開と通信の制御を「時系列」「対応と現状」に加えた。
- 2026年7月31日：Klue Labsの7月31日の解説（出典5）で示された侵入の2つの段階と既存の統制の働きを「経緯」に加えた。
- 2026年8月4日：Klue Labsの7月27日と7月31日の告知の8月4日の更新版（出典4、5）に合わせ、「経緯」「対応と現状」を改めた。