LastPass第三方Klue事件致Salesforce客戶數據泄露
LastPass公告第三方市場情報平臺Klue發生安全事件，黑客竊取Klue持有的多個客戶包括LastPass的OAuth令牌。
攻擊者利用這些令牌訪問LastPass Salesforce CRM系統，可能導致部分客戶姓名、電話號碼、郵箱地址、家庭住址及支持案例等業務聯繫信息泄露；LastPass產品、服務、基礎設施及客戶密碼庫未受影響，Gong系統數據亦未被訪問。
LastPass立即停止員工對Klue訪問、輪換暴露API令牌，並與Klue、Salesforce及執法部門合作調查，同時通過TIME團隊分享威脅情報；用戶需警惕利用泄露信息發起的釣魚攻擊，LastPass絕不會索要主密碼。
來源：公開信息
ABAB AI 解讀
LastPass此前多次因供應鏈和憑證泄露事件遭受批評，包括2022年重大密碼庫泄露後加強了安全措施，但此次仍因第三方Klue集成OAuth令牌管理疏忽導致CRM數據暴露，凸顯依賴外部SaaS工具的持久風險。
Klue作爲AI市場情報平臺，其OAuth集成被攻擊者通過遺留憑證利用，竊取令牌後橫向訪問多個企業Salesforce環境，LastPass等安全廠商因此間接暴露客戶聯繫數據，資本路徑上反映企業加速採用第三方情報工具卻未嚴格審計集成權限。
類似Huntress、Tanium等多家安全公司同期受Klue事件影響，此前Salesforce OAuth濫用案例也曾導致多家企業數據泄露，LastPass當前處於持續修復歷史安全形象並強化第三方風險管理的轉型階段。
本質屬於監管變化與技術替代加速下的供應鏈脆弱性：OAuth等無密碼集成提升便利性同時降低攻擊門檻，迫使企業資本向更嚴格的零信任架構和內部情報工具集中，重構第三方依賴的產業鏈安全邊界。
ABAB News · 認知定律
第三方集成越便利，供應鏈攻擊面就越大。