Vazamento no Salesforce via app Klue: grupo Icarus extraiu dados de CRM por 24 horas

O ataque ao Klue não foi um caso isolado de má configuração, foi a terceira onda consecutiva de abuso de OAuth em apps SaaS integrados ao Salesforce em menos de 12 meses. Diferente dos incidentes anteriores com Drift e Gainsight, este usou uma credencial inativa *mas funcional*, criada para um protótipo de integração que nunca foi para produção. Isso expõe uma falha sistêmica: equipes de segurança raramente auditam credenciais de 'teste' ou 'desenvolvimento', mesmo quando elas têm permissões completas de API. Os atacantes exploraram exatamente esse vazio operacional.

A exfiltração seguiu um padrão técnico preciso: primeiro, enumeração via /services/data/v59.0/sobjects para mapear objetos acessíveis (Contato, Cotação, Mensagem__c); depois, extração em massa via /services/data/v59.0/query com SOQL malicioso. O pico de quase 1.000 chamadas em 15 minutos não é acidental, é o comportamento típico de scripts Python automatizados que ignoram rate limits quando executados de IPs autorizados. Isso só foi possível porque a conta de integração do Klue não tinha restrição de IP nem escopo mínimo definido no OAuth.

Em abril de 2026, o CEVIU já alertava sobre o risco de tokens OAuth persistentes após o caso da Drift, mas lá o foco era em credenciais ativas e mal protegidas. Agora, com o Klue, o vetor mudou: é uma credencial *inativa há anos*, mantida por engano, com permissões amplas e sem monitoramento. Também é a primeira vez que o grupo Icarus aparece como executor, antes, eram os ShinyHunters (como na InfiniteCampus, 16/06). E pela primeira vez, o ataque explora um backdoor de código implantado diretamente no backend do app integrado, não apenas roubo de tokens em trânsito.

Esse não é um vazamento de CRM, é uma falha na cadeia de confiança de SaaS. Quando você autoriza um app como Klue no Salesforce, está delegando poder de leitura e escrita em seus dados comerciais mais sensíveis. Não basta revogar o token: se o app for comprometido, ele pode gerar novos tokens automaticamente, desde que sua integração tenha refresh tokens ativados e escopo amplo. Empresas que ainda usam 'all scopes' em conexões OAuth estão deixando a porta aberta para o próximo Icarus, mesmo que o app pareça seguro hoje.