Pazar araştırma sağlayıcısı Klue, bu ay başında yaşanan siber saldırıda birçok müşterisine ait büyük miktarda verinin çalınmasının ardından, saldırganlarla iletişim halinde olduğunu ve verilerin silindiğine inandığını bildirdi. TechCrunch'ın edindiği bilgilere göre şirket, özel olarak paylaştığı güncellemede 'Icarus' adlı tehdit aktörüyle iletişime devam ettiklerini ve bu kişinin Klue müşterilerinden alınan verileri silmek için adımlar attığını belirtti. Icarus'un web sitesi de erişime kapandı ve bu durum, silme işleminin devam ettiğine dair bir işaret olarak değerlendiriliyor.
Ancak durum son günlerde karmaşıklaştı. Klue'ye göre Icarus, ikinci bir hacker grubunun doğrudan müşterilere şantaj yapmaya çalıştığını bildirdi. Bu isimsiz grup, kendi web sitesinde etkilenen şirketlerin bir listesini yayınladı ve Klue müşteri verilerini Icarus'tan doğrudan çaldıklarını iddia etti. Ayrıca Klue'nun, Birleşik Krallık'ta yaşayan bir gence para ödediğini öne sürdüler. TechCrunch, Klue'nun Icarus'a ödeme yaptığına dair bağımsız bir doğrulama elde edemedi.
Siber suçlular, web sitelerinde 'Fidyeyi ödeyin, aksi halde her şeyi sızdıracağız' mesajı yayınladı ve toplam 195 etkilenen Klue müşterisi olduğunu iddia etti. Klue ise müşterilerine gönderdiği güncellemede, Icarus'un diğer grubun yalnızca bazı müşterilere ait örnek verilere sahip olduğunu, tüm verilere sahip olmadığını söylediğini aktardı. Klue, müşterilerine bu ikinci gruba ödeme yapmamalarını tavsiye etti.
Sonuç ve Değerlendirme
Klue, saldırganların 2022 yılına ait üçüncü taraf bir kimlik bilgisi kullanarak müşteri verilerine eriştiğini ve buradan OAuth token'larını çalarak müşterilerin bulut ve veritabanlarına girdiğini açıkladı. Şirket, bu çalınan kimlik bilgisinin kime ait olduğu veya dört yıl boyunca neden iptal edilmediği hakkında detay vermedi. Öte yandan, daha önce etkilenenler listesinde yer alan ReliaQuest'in aslında saldırıdan etkilenmediği düzeltildi.
