旧凭据成为漏洞，Klue客户数据被黑客窃取

加拿大市场研究公司Klue证实，黑客使用2022年的旧凭证或系统访问数据后，客户数据泄露。被盗数据包括许多企业客户的数据，包括网络安全公司。

TechCrunch报道，这些凭据最初是为有限试点项目提供给第三方。这一发现引发了这样一个问题，即在攻击中使用之前，是否应该禁用长期访问。

该漏洞于6月12日被检测到，并于上周五首次由Klue公布。该事件影响了包括密码管理应用程序制造商LastPass在内的许多客户，以及其他一些网络安全公司。

黑客利用对Klue系统的访问权限存储OAuth令牌。OAuth令牌是一种数字密钥，允许一个服务访问另一个服务的记录，而无需不断询问用户名和密码。

借助这种访问权限，黑客从云计算服务和其他各种数据库中获取了客户数据。被盗的数据随后用于勒索受害公司。

Klue发言人Katie Berg告诉TechCrunch，初步调查结果显示，攻击中使用的凭据“最初于2022年提供给第三方，用于有限的试点项目”。

然而，Klue尚未解释该项目的目的，持续了多长时间，以及接收凭证的第三方身份。该公司也没有回答为什么在项目完成后没有取消访问。

一些其他问题仍然悬而未决。Klue尚未透露被盗凭证的类型。在博客文章中，该公司只将其称为与集成服务相关的旧凭证。

Klue也没有解释这些凭据是员工的用户名和密码，还是访问数据是从第三方窃取的，而不是从公司的内部系统中窃取的。

这些细节对于了解攻击是如何进行的以及如何防止未来发生类似事件至关重要。

在向TechCrunch的声明中，Klue表示，它正在对凭证管理、供应商访问控制、监控功能和系统实施的安全过程进行全面审查。然而，该公司没有提供进一步的细节。

黑客组织Icarus通过其数据泄露网站声称对这次袭击负责。该组织威胁说，如果赎金要求得不到满足，它将公布被盗数据。

Klue尚未表示是否与黑客进行了沟通，或者该公司是否计划满足这些要求。