L’attaque de chaîne d’approvisionnement chez Klue a exposé des données CRM et de support de LastPass, mais pas ses coffres de mots de passe. D’après l’enquête indépendante de CrowdStrike, un attaquant a utilisé un jeton GitHub compromis pour injecter du code dans le service d’intégration de Klue et collecter des jetons OAuth, notamment pour Salesforce.
LastPass indique que ses coffres, ses produits et son infrastructure n’ont pas été touchés. Le périmètre confirmé comprend des données de contact, de support et commerciales dans Salesforce ; le contenu précis des dossiers de support n’a pas été détaillé publiquement.
Chronologie et périmètre de l’incident
Selon le compte rendu publié par Klue le 1er juillet 2026, le jeton GitHub compromis a servi le 11 juin à introduire du code non autorisé et à collecter des jetons OAuth d’intégration. Salesforce a alerté Klue d’une activité suspecte le 12 juin. LastPass a confirmé le 22 juin que des données étaient accessibles dans son environnement Salesforce.
CrowdStrike n’a pas établi comment le jeton GitHub initial avait été compromis et n’a trouvé aucune trace d’activité de l’attaquant dans l’environnement Klue après le 12 juin. LastPass indique aussi qu’il n’existe pas de preuve d’accès aux données liées à Gong. Pour inventorier les dépendances et les prestataires critiques, consultez notre guide NIS2 pour les TPE-PME.
OAuth : une relation de confiance à surveiller
OAuth évite souvent de partager un mot de passe entre deux services. C’est utile, mais le jeton remis à l’application devient une autorisation exploitable. Sa sécurité dépend donc aussi du fournisseur qui le stocke, de ses règles de rotation et de l’étendue des permissions accordées.
Dans le cas de Klue, le jeton n’a pas ouvert un coffre de mots de passe. Il a donné accès à ce que l’intégration pouvait consulter dans les outils métiers connectés. Pour une PME, cette nuance aide à poser les bonnes questions : quelles données sont accessibles, depuis quel compte, pendant combien de temps et avec quelles traces ?
Les leçons concrètes pour une petite équipe
- Inventorier les applications connectées aux CRM, outils de support, messageries et espaces de fichiers.
- Supprimer les intégrations inutilisées et réduire leurs permissions au strict nécessaire.
- Prévoir la révocation et la rotation des jetons, avec une procédure connue avant l’incident.
- Surveiller les connexions inhabituelles et les exports massifs de données.
- Ne pas placer les secrets critiques dans des documents partagés ou des copies multiples.
Pour les équipes qui administrent Salesforce, Datadog Security Labs recommande notamment d’examiner les événements liés à l’application « Klue Battlecards », l’usage de jetons OAuth de renouvellement et les volumes anormaux de requêtes API. Ces signaux sont des pistes de chasse propres à cet incident et doivent être interprétés avec le contexte des journaux de l’organisation.
Une intégration n’est pas seulement une fonctionnalité : c’est un chemin d’accès supplémentaire. La revue doit porter sur la donnée réellement exposée, pas uniquement sur le service que l’on considère comme principal.
Pour les mots de passe d’équipe, notre guide du partage avec des droits maîtrisés explique comment limiter les copies manuelles et définir les personnes autorisées.
Le lien avec Soclyde
Cet incident ne signifie pas qu’un coffre local élimine le risque lié à un fournisseur tiers. Soclyde aide plutôt les équipes à conserver des identifiants uniques dans un coffre chiffré local et à partager seulement les accès nécessaires. Il ne protège pas une intégration SaaS compromise, mais peut réduire les réutilisations et les copies manuelles de mots de passe.
À retenir
Une attaque de chaîne d’approvisionnement peut contourner les frontières visibles d’une entreprise : l’attaquant ne casse pas nécessairement le service que l’on surveille, il exploite la confiance accordée à un fournisseur connecté.
Pour une TPE-PME, la réponse combine une cartographie régulière des intégrations, des permissions minimales, une révocation rapide et des identifiants uniques conservés dans un environnement maîtrisé. Parlons de votre stratégie de mots de passe.
