Третья утечка LastPass: пароли уцелели, а данные клиентов вытекли через CRM-сервис Klue

Уведомление об утечке, которое так и не дошло до хранилищ паролей

23 июня 2026 года LastPass разослала пользователям уведомление об утечке, уже третье по счёту, и на этот раз источник лежал далеко от её собственной инфраструктуры. Данные ушли через Klue (klue.com), платформу рыночной аналитики, которая встраивается в CRM вроде Salesforce и Gong. Злоумышленники взломали Klue, и записи о клиентах LastPass утекли вместе с остальным.

Что именно вытекло, по разбору инцидента самой LastPass: обычные деловые контакты и CRM-данные. Это имена, телефоны, адреса почты, физические адреса клиентов, а также данные обращений в поддержку и продаж. Зашифрованные хранилища паролей, то самое, ради чего менеджер паролей вообще становится лакомой целью, не пострадали. LastPass говорит, что отозвала доступ сотрудников к Klue, сменила раскрытые API-токены, уведомила правоохранителей и пометила три подозрительных IP-адреса и три домена отправителей, связанных со злоумышленниками. Совет пользователям: остерегаться фишинга и социальной инженерии, построенных на утёкших контактах.

LastPass попала под удар не одна. Взлом Klue вытянул записи из длинного списка её клиентов.

«Klue не сообщила, сколько из её сотен клиентов задеты. Несколько компаний уже подтвердили, что во время атаки у них украли данные: среди них Gong, Jamf, HackerOne, Insurity, OneTrust, Recorded Future, Snyk, Sprout Social и Tanium.» — читатель, нашедший репортаж TechCrunch

Тот же читатель отметил вымогательскую составляющую: ответственность взяла на себя киберпреступная группа, называющая себя Icarus; она грозит опубликовать украденные данные, если выкуп не заплатят.

Рефлекс треда и инженер, который его сломал

Тред на 479 голосов открылся так, как теперь открывается любой тред про LastPass: ссылки на два прошлых обсуждения утечек и сухое «третий раз — наверняка». Затем пошли истории про миграцию. KeePass, Bitwarden, Enpass, pass, Apple Passwords: каждый из них маленький памятник хранилищу, которое кто-то уже бросил.

Самую жёсткую реплику в адрес тех, кто остаётся, выдало повторяющееся на HN мнение про утечку хранилищ в 2022 году:

«у меня нет сочувствия к тем, кто выбрал lastpass после 2022 года.» — комментатор, проводивший миграцию организации с LastPass на 1Password

Он добавил то, о чём евангелисты миграции умалчивают: перевести организацию с LastPass был «гигантской работой и невероятно раздражающим занятием», и именно поэтому компании остаются.

Но по-настоящему переосмыслил историю комментарий человека, который явно сам сидел внутри разросшегося набора инструментов отдела продаж:

«Klue — один из тех CRM-сервисов, которыми пользуется столько отделов продаж. Да, вам приходится отдавать им записи о клиентах… Если пойти к своим продажникам и посмотреть, какую случайную всячину они подключили к вашим системам, держу пари, вы найдёте похожее… Меня скорее удивляет, что такие утечки не случаются чаще.» — инженер, описывающий, как отделы продаж подключают сторонние инструменты

Мысль попадает в цель: дело не в том, что LastPass как-то особенно беспечно обошлась с хранилищами. Это обычная, невидимая цепочка поставок, которую держит любая B2B-компания, и любой её узел способен слить список клиентов.

Инженер по безопасности, чья биография тянется по маршруту Rapid7 → Dropbox → Datadog, согласился с оценкой тяжести вопреки настроению треда:

«Хорошего мало, но и катастрофы тут нет. Многих покусал взлом Klue, но это же не значит, что лезут к вашим хранилищам.» — инфобез-инженер

Утечка, которой не должно было быть

По-настоящему неудобный вопрос не в том, в безопасности ли хранилища. Он в том, почему эти данные вообще оказались в Klue. Один из комментаторов сформулировал очевидное прямо:

«Какого чёрта LastPass раздаёт данные клиентов компании по рыночным исследованиям? Любые такие данные должны были быть полностью обезличены: никаких имён, никаких конкретных адресов и так далее.» — пользователь KeePassXC, не видящий причин отдавать вендору сырые записи о клиентах

Вот сноска ко всякому заверению «с вашими хранилищами всё в порядке». Весь посыл парольной компании в том, что ей можно доверить и централизовать свои самые чувствительные данные. Но третье уведомление за три года напоминает: централизованные данные утекают через скучную чёрную дверь — через CRM продаж, а не через парадный вход. Для пользователя LastPass практический вывод мал и конкретен: пароль менять не нужно, но ваши имя и адрес теперь топливо для фишинга, а домены отправителей, которые пометила LastPass, лучше не открывать.