Klue dice que los hackers que robaron los datos de sus clientes los están eliminando, pero ha surgido un segundo grupo con demandas de extorsión.

      TL;DRKlue dice que Icarus está eliminando datos robados y su sitio está caído, pero un segundo grupo de hackers afirma haber robado los datos de Icarus y está extorsionando a las víctimas. Klue, la firma de inteligencia de mercado cuya violación a principios de este mes expuso datos de clientes en LastPass, HackerOne y casi una docena de otras empresas, dice que el grupo de hackers responsable ahora está cooperando y eliminando los datos robados. Pero un segundo grupo de hackers, que no ha sido nombrado, ha surgido afirmando poseer los mismos datos y está intentando extorsionar directamente a las empresas afectadas, según una actualización privada para clientes obtenida por TechCrunch. En una comunicación del jueves por la noche a los clientes, Klue dijo que está en contacto con el grupo de hackers Icarus, que violó sus sistemas el 12 de junio y robó datos de clientes al explotar una credencial comprometida de 2022. “Icarus nos dijo que están tomando medidas para eliminar los datos tomados de los clientes de Klue”, escribió la empresa, añadiendo que el sitio web de Icarus sigue caído y que hay indicios de que la eliminación está en marcha. La aparente resolución viene con una complicación significativa. Según Klue, Icarus informó a la empresa que un segundo grupo de hackers obtuvo los datos robados, supuestamente al explotar un error cometido por el operador de Icarus. Este segundo grupo ha publicado una lista de empresas supuestamente afectadas en su propio sitio web y está exigiendo pago a las víctimas. “Paga el rescate o filtraremos todo si no nos pagas”, escribió el segundo grupo en su sitio, donde afirmaron que hay 195 clientes de Klue afectados en total, según TechCrunch. Los hackers también alegaron que Klue pagó al operador original de Icarus, a quien describieron como un adolescente en el Reino Unido. TechCrunch dijo que no pudo verificar de forma independiente la afirmación de pago. Klue informó a los clientes que Icarus cree que el segundo grupo solo tiene muestras de datos de un subconjunto de clientes, no el conjunto completo de datos. La empresa también transmitió una instrucción sorprendente de Icarus: pidió a Klue que dijera a sus clientes que no hicieran pagos al segundo grupo. Klue sugirió que los clientes afectados en contacto con el segundo grupo soliciten una muestra aleatoria de datos como prueba de posesión. La violación ya ha producido una larga lista de víctimas confirmadas. Los ataques a la cadena de suministro se han convertido en un patrón definitorio en 2026, y el incidente de Klue sigue el mismo esquema: en lugar de atacar directamente a los objetivos, los hackers comprometieron a un proveedor que tenía tokens de OAuth que otorgaban acceso a los entornos de Salesforce de los clientes. Las empresas que han confirmado públicamente que fueron afectadas incluyen Gong, Jamf, HackerOne, Huntress, Insurity, LastPass, OneTrust, Recorded Future, ReliaQuest, Snyk, Sprout Social y Tanium. Klue había revelado anteriormente que los atacantes obtuvieron acceso inicial utilizando una credencial de terceros creada en 2022 como parte de un programa piloto limitado. La credencial nunca fue revocada, a pesar de que la integración para la que fue creada fue abandonada. Klue no ha identificado a quién se le asignó la credencial ni por qué permaneció activa durante cuatro años. La situación ilustra una dinámica que los incidentes de ciberseguridad en 2026 han demostrado repetidamente: las violaciones no terminan cuando se identifica al atacante inicial. Los datos robados se mueven entre grupos criminales, multiplicando el riesgo de extorsión para las víctimas que pueden creer que la amenaza ha pasado. Si Icarus está realmente eliminando los datos, o si el segundo grupo posee suficiente para llevar a cabo sus amenazas, son preguntas que los clientes de Klue aún no pueden responder con confianza. Un portavoz de Klue no respondió a la solicitud de TechCrunch para comentar si la empresa pagó a Icarus. El sitio web de Icarus seguía caído hasta la mañana del jueves.