Klue afferma che gli hacker che hanno rubato i dati dei suoi clienti li stanno cancellando, ma è emerso un secondo gruppo con richieste di estorsione.

      TL;DRKlue afferma che Icarus sta cancellando i dati rubati e il suo sito è inattivo, ma un secondo gruppo di hacker sostiene di aver rubato i dati da Icarus ed è in procinto di estorcere le vittime. Klue, la società di intelligence di mercato il cui furto all'inizio di questo mese ha esposto i dati dei clienti di LastPass, HackerOne e quasi una dozzina di altre aziende, afferma che il gruppo di hacker responsabile sta ora collaborando e cancellando i dati rubati. Ma un secondo gruppo di hacker, non nominato, è emerso sostenendo di possedere gli stessi dati e sta tentando di estorcere direttamente le aziende colpite, secondo un aggiornamento privato per i clienti ottenuto da TechCrunch. In una comunicazione di giovedì sera ai clienti, Klue ha dichiarato di essere in contatto con il gruppo di hacker Icarus, che ha violato i suoi sistemi il 12 giugno e ha rubato i dati dei clienti sfruttando una credenziale compromessa del 2022. “Icarus ci ha detto che stanno prendendo provvedimenti per cancellare i dati presi dai clienti di Klue,” ha scritto l'azienda, aggiungendo che il sito di Icarus rimane inattivo e che ci sono indicazioni che la cancellazione sia in corso. L'apparente risoluzione arriva con una complicazione significativa. Secondo Klue, Icarus ha informato l'azienda che un secondo gruppo di hacker ha ottenuto i dati rubati, presumibilmente sfruttando un errore commesso dall'operatore di Icarus. Questo secondo gruppo ha pubblicato un elenco di aziende presumibilmente colpite sul proprio sito web e sta chiedendo un pagamento alle vittime. “Paga il riscatto o pubblicheremo tutto se non ci paghi,” ha scritto il secondo gruppo sul proprio sito, dove ha affermato che ci sono 195 clienti di Klue colpiti in totale, secondo TechCrunch. Gli hacker hanno anche sostenuto che Klue ha pagato l'operatore originale di Icarus, descritto come un adolescente nel Regno Unito. TechCrunch ha dichiarato di non poter verificare in modo indipendente la richiesta di pagamento. Klue ha informato i clienti che Icarus crede che il secondo gruppo abbia solo campioni di dati per un sottoinsieme di clienti, non l'intero set di dati. L'azienda ha anche trasmesso un'istruzione sorprendente da parte di Icarus: ha chiesto a Klue di dire ai propri clienti di non effettuare pagamenti al secondo gruppo. Klue ha suggerito che i clienti colpiti in contatto con il secondo gruppo richiedano un campione casuale di dati come prova di possesso. La violazione ha già prodotto un lungo elenco di vittime confermate. Gli attacchi alla catena di approvvigionamento sono diventati un modello definitorio nel 2026, e l'incidente di Klue segue lo stesso schema: piuttosto che attaccare direttamente gli obiettivi, gli hacker hanno compromesso un fornitore che deteneva token OAuth che concedevano accesso agli ambienti Salesforce dei clienti. Le aziende che hanno confermato pubblicamente di essere state colpite includono Gong, Jamf, HackerOne, Huntress, Insurity, LastPass, OneTrust, Recorded Future, ReliaQuest, Snyk, Sprout Social e Tanium. Klue ha precedentemente rivelato che gli aggressori hanno ottenuto accesso iniziale utilizzando una credenziale di terze parti creata nel 2022 come parte di un programma pilota limitato. La credenziale non è mai stata revocata, anche se l'integrazione per cui era stata creata è stata abbandonata. Klue non ha identificato a chi era assegnata la credenziale o perché sia rimasta attiva per quattro anni. La situazione illustra una dinamica che gli incidenti di cybersecurity nel 2026 hanno ripetutamente dimostrato: le violazioni non finiscono quando l'attaccante iniziale viene identificato. I dati rubati si spostano tra gruppi criminali, moltiplicando il rischio di estorsione per le vittime che potrebbero credere che la minaccia sia passata. Se Icarus stia realmente cancellando i dati, o se il secondo gruppo possieda abbastanza per portare a termine le proprie minacce, sono domande a cui i clienti di Klue non possono ancora rispondere con certezza. Un portavoce di Klue non ha risposto alla richiesta di commento di TechCrunch su se l'azienda abbia pagato Icarus. Il sito di Icarus rimane inattivo a partire da giovedì mattina.