CRM 数据感觉很平静，直到代币开始自行移动。
销售团队将联系人姓名、续订信号、管道注释、支持背景、合作伙伴历史记录、通话摘要、定价、采购注释和团队异议存储在一处。该系统成为收入的记忆。当连接的 SaaS 应用程序获得对该内存的广泛访问时，风险就超出了应用程序本身。
2026 年 6 月，Hacker News 报道称，在可疑的 OAuth 令牌活动可能允许通过 Klue 连接未经授权访问客户数据后，Salesforce 禁用了 Klue Battlecards 应用程序集成。 Klue 后来表示，它发现未经授权的活动影响了其集成基础设施的一部分，并且攻击者通过连接到集成服务的受损旧凭证获得了访问权限。
对于团队来说，最重要的一点是直接。公开报告并未描述 Salesforce 平台漏洞。他们描述了第三方集成路径。这是许多公司在安全审查过程中忽略的部分。
经批准的集成可以成为大门。
SaaS
公开报道的内容
据 Salesforce 称，该公司在检测到涉及该应用程序的异常活动后，禁用了 Klue Battlecards 和 Salesforce 之间的连接，以保护客户。 Hacker News 援引 Salesforce 的话说，该问题仅限于 Klue 应用程序连接，并非由 Salesforce 内部的漏洞引起。
Klue 表示，该事件始于与集成服务相关的遗留凭证遭到泄露。从那里，攻击者获得了用于将 Klue 与第三方平台（包括 Salesforce）连接的 OAuth 令牌。 Klue 表示，它撤销了受影响的凭据和令牌，删除了未经授权的代码，停止了远程访问，禁用了可能受影响的集成，并开始了更广泛的调查。
Huntress 表示，从其 Salesforce 帐户复制的数据包括业务联系人、报价以及与销售相关的数据和消息。 Huntress 还表示，威胁数据、密码、支付卡数据以及与其代理或遥测相关的工程数据没有受到影响。后来的报道称，与 Huntress 有关的数据出现在泄露网站上，Huntress 确认发布的 3.4 GB 数据集是合法的，并且仅限于 Salesforce CRM 数据。
Datadog 安全实验室将该模式描述为针对 Salesforce 实例的 Klue 供应链攻击。其文章称，Klue 于 2026 年 6 月 13 日向客户发出警报，此前 Salesforce 和 Kong 的 OAuth 令牌已经被收获，并且自动 API 调用已经开始。 ReliaQuest 报告称，攻击者通过受损的 Klue 集成服务帐户进行身份验证，生成 OAuth 令牌，然后使用自动化脚本查询 Salesforce REST API 端点近 24 小时。
这足以定义商业课程。 SaaS 风险现在存在于第三方授权、过时的服务凭证、应用程序授权、API 查询模式和令牌生命周期内。
路径是如何工作的
OAuth 旨在让一个应用程序在另一应用程序内获得许可即可执行操作。用户或管理员授予访问权限。应用程序接收令牌。这些令牌让应用程序可以调用 API，而无需每次都要求输入密码。
这个设计很有用。当令牌超出实际业务需求时，当连接的应用程序具有比所需更广泛的访问权限时，或者当集成所有者因为熟悉而被视为低风险时，这也是危险的。
关于克鲁案件的公开报道指向了一个熟悉的链条：
- 连接到集成基础设施的遗留凭证成为第一个立足点。
- 攻击者利用该立足点获取 OAuth 令牌。
- 令牌允许访问连接的客户环境。
- 自动脚本通过正常的 API 路径查询 Salesforce 数据。
- 在有人提出更尖锐的问题之前，该活动看起来像是集成流量。
这就是为什么 OAuth 审核需要与普通用户帐户审核不同的心态。人类用户拥有职位、经理、登录模式、设备和可见的工作流程。连接的应用程序通常具有广泛的访问权限、高持久性、有限的行为监控，并且没有自然的日常所有者。
该账户可能会安静数月，然后成为公司最大的风险。
损坏情况如何
公开报告给出了几个具体的影响领域。
首先是CRM数据暴露。业务联系人、姓名、电子邮件、电话号码、地址、报价、支持案例信息、交易记录和销售相关消息足以损害公司。犯罪分子不需要密码数据库就能造成破坏。 CRM 环境可能助长网络钓鱼、发票欺诈、合作伙伴冒充、投资者压力、竞争对手情报和勒索。
二是谈判曝光。销售记录显示了团队关心的内容。定价说明显示折扣逻辑。机会记录显示更新时间。支持说明显示出沮丧。所有这些都可以用来向员工和客户施加真实的信息。
第三是后续的社会工程。如果攻击者知道客户、客户经理、续订日期、团队关注的问题以及最后的支持主题，那么下一封电子邮件看起来就不那么随机了。这听起来像是一次正常的对话。
四是声誉压力。公司也许可以说密码和支付卡超出了范围，这可能是真的。该团队仍然听到另一条消息：第三方连接器访问了业务数据。这引起了客户、合作伙伴、采购团队、保险公司和领导层的质疑。
五是证据债务。代币事件发生后，公司需要快速得到答案：- 哪些连接的应用程序可以访问？
- 查询了哪些对象？
- 导出了哪些字段？
- 感动了哪些顾客？
- 哪些代币被撤销？
- 哪些集成被禁用？
- 保留哪些日志？
- 哪些控制措施可以防止重复活动？
如果公司无法回答这些问题，该事件在技术遏制后很长时间内仍将继续进行内部销售和法律对话。
为什么这会吓到认真的团队
可怕的部分是普通的表面。
大多数 SaaS 环境都承载着多年的互联应用程序。营销工具、销售支持工具、支持工具、丰富工具、分析工具、数据仓库、人工智能助手、通话记录器、BI 连接器、备份工具、低代码自动化和集成平台都需要访问权限。许多人收到它。当原始项目结束时，更少的人会失去它。
随着时间的推移，SaaS 地产变成了阴影边界。防火墙可以很强大。 MFA 可以很强大。可以管理员工设备。尽管如此，第三方 OAuth 令牌仍然可以通过侧入口，因为企业在几个月或几年前就批准了它。
小公司通过客户的信心感受到这一点。一件事件可能会减慢企业交易速度。团队要求提供证据，证明集成已被清点、确定范围、受到监控并在过时时被撤销。
中型市场公司通过采购拖累感受到了这一点。合作伙伴要求提供已连接的 SaaS 工具列表。安全性要求访问范围。法律询问谁处理哪些数据。销售人员询问交易何时可以进行。
企业公司通过规模感受到了这一点。数百个部门和工具创造了数千笔赠款。单一的弱集成可以成为领导层认为受主平台保护的数据的路径。
技术术语是 OAuth。用商业术语来说就是曝光。
团队现在应该检查哪些内容
从完整的连接应用程序清单开始。导出每个已安装的 Salesforce 连接的应用程序、OAuth 授权、集成用户、服务帐户、刷新令牌类和第三方托管包。包括 Kong、HubSpot、Slack、Google Workspace、Snowflake、支持台、丰富工具以及涉及 CRM 数据的 AI 工作流程工具。
然后按爆炸半径排名。可以读取客户、联系人、潜在客户、机会、案例、自定义对象和文件附件的连接器属于顶层。具有刷新令牌且没有活动所有者的连接器属于顶层。为飞行员安装并保持活动的连接器属于顶层。
审查范围。许多集成获得了广泛的访问，因为它在设置过程中更容易。这就产生了一种无声的责任。收入工具很少永远需要每个对象。报告工具很少需要写访问权限。陈旧的集成需要删除。
查看令牌和会话。撤销必须是真实的。管理控制台中的复选框比令牌、刷新令牌、会话和连接的应用程序授权无效的证据更弱。当事件涉及供应商时，询问他们撤销了哪些内容以及您必须在本地撤销哪些内容。
查看日志中是否存在看似正常的滥用行为。在 Klue 案例中，报告描述了 API 查询和自动化用户代理。团队应该寻找异常查询量、非工作时间API突发、新源网络、对象枚举、批量分页以及来自与供应商正常占用空间不匹配的基础设施的访问。
查看警报。许多检测程序会对员工不可能的旅行发出警报，并且无法对提取完整对象目录的集成帐户发出警报。这个差距很重要。集成帐户需要行为基线、数据量阈值和更改警报。
审查合同和事件路径。如果供应商为您的环境持有 OAuth 令牌，您的合同和加入路径应说明令牌如何存储、如何轮换、如何通知您、撤销它们的速度、它们保留的日志以及当他们自己的基础设施受到损害时会发生什么。
控制图团队希望看到的
企业利益相关者很少要求从 CRM 安全控制台进行完整的原始导出。他们要求一个更简单的答案来证明成熟。最佳回应有五个部分。
访问库存是第一位的。公司应该显示哪些连接的应用程序可以读取或写入 CRM 数据。该列表应包括所有者、供应商、业务目的、范围、数据类、上次审核日期和删除路径。
范围纪律排在第二位。每个应用程序都应该有每个主要权限的理由。广泛的范围，例如完整的 API 访问、离线访问、写入访问、导出权和对自定义对象的访问，需要更有力的理由。
监控排在第三位。一个认真的团队想知道 API 访问受到监视。团队应该监视数量、对象混合、异常查询模式、源更改、用户代理更改以及供应商正常操作模式之外的访问。
撤销准备程度排在第四位。该公司应该能够快速撤销第三方集成，而不会破坏整个收入团队。这需要指定的所有者、记录的后备方案和经过测试的流程。
证据排在第五位。经审查后，企业应当留存记录。屏幕截图、导出、更改票据、日志查询、令牌撤销记录和复测注释很重要，因为它们缩短了销售和尽职调查对话。
该控制图是模糊安全答案和决策就绪答案之间的区别。
收入领导者应该问的问题
CRM 安全属于收入领先领域。收入领导者应该了解风险，因为数据属于销售活动。
询问哪些收入工具可以读取管道和联系人。询问哪些工具可以导出机会注释。询问前飞行员是否仍然可以使用。询问人工智能助手是否可以看到敏感的交易背景。询问合作伙伴集成是否可以读取附件。询问每个集成是否都有仍在公司工作的所有者。询问如果供应商今天宣布滥用令牌会发生什么。谁会禁用该应用程序？谁会与客户交谈？谁来检查日志？谁会告诉销售人员哪些交易受到了影响？谁能为采购提供干净的答案？
这些问题让人不舒服。这就是重点。公司应该在排练中感受到压力，而不是在主动发出勒索信息时感受到压力。
更安全的 SaaS 审批路径
新的 SaaS 工具在接受 CRM 访问之前应通过一个简短的安全门。
门应该定义业务需求、所需的确切数据、权限范围、令牌生命周期、供应商的存储模型、事件通知路径、客户可用的日志记录以及公司内部的所有者。
大门还应定义一个出口。每个集成都需要一个删除日期或审核日期。每个飞行员都需要自动清理。每个供应商变更都需要重新验证。每个高风险权限都需要第二个人批准。
该门不需要减慢业务速度。它应该通过防止未来的混乱来加快业务速度。需要额外两天批准的销售工具比需要两个月的团队关注的销售工具要便宜。
对于人工智能连接的收入工具，同样的路径变得更加严格。如果该工具可以读取通话记录、CRM 注释、支持历史记录或团队异议，那么它就可以处理敏感的业务内存。从第一天起，它就应该受到监控和删除规则。
认证应涵盖哪些内容
对于 SaaS 和 CRM 集成轮廓，SToFU Systems 安全认证可以指定确切的范围。该范围可能包括 Salesforce 连接的应用程序、服务帐户、OAuth 授权、第三方收入工具、接触 CRM 数据的 AI 助手、导出路径、监控规则和撤销证据。
该证书不应声称世界上每个供应商都是安全的。它应该说明审查了什么、发现了哪些风险、验证了哪些修复以及结果可以使用多长时间。对于许多 SaaS 轮廓，当材料变更触发提前审查时，最长 12 个月的有效期是可行的。新的高风险供应商、重大的 CRM 权限更改、新的 AI 工作流程或数据模型更改应该更快地重新开放轮廓。
这就是认证变得有用的原因。它创造了一个生动的答案。该公司可以向客户和投资者展示收入数据路径已被审查，过时的访问已被删除，危险范围已减少，并且代币滥用已受到监控。
SToFU Systems 如何应对此类风险
SToFU Systems 将 SaaS 集成视为安全轮廓的一部分。审查并不仅仅停留在应用程序代码或云帐户上。它包括业务数据通过第三方工具、服务帐户、API 客户端、令牌、自动化和人工智能辅助工作流程移动的路径。
对于此类风险，我们重点关注五个产出。
首先，我们构建一个连接访问地图。该地图显示了哪些工具可以访问哪些系统、它们拥有哪些范围、它们接触哪些数据类以及哪个所有者可以证明访问的合理性。
其次，我们回顾令牌和身份状况。这包括 OAuth 范围、刷新令牌行为、应用程序审批规则、服务帐户设计、非人类身份所有权、条件访问、供应商源模式和撤销工作流程。
第三，我们测试滥用路径。有用的审查会询问犯罪分子可以使用令牌查询什么，哪些数据对勒索有用，提取数据的速度有多快，哪些日志会显示这些数据，以及会触发哪些警报。
第四，支持整治。这可能意味着缩小范围、删除过时的应用程序、拆分集成帐户、添加警报、加强审批、强制令牌轮换、需要更强有力的供应商证据，或在 CRM 导出周围添加防护栏。
第五，我们验证关闭。当结果确定后，我们会复测。如果轮廓对于团队、投资者、合作伙伴或采购审核来说足够清晰，我们可以颁发 SToFU Systems 安全认证，其中包含审核范围、补救证据、审核日期和有效期。
证书很重要，因为团队需要一个清晰的工件。他们需要知道审查了哪些内容、关闭了哪些风险以及答案可以使用多长时间。
实用的应对计划
如果您的公司使用 Salesforce、Gong、HubSpot 或类似的收入系统，请按顺序操作。
先库存。列出每个连接的应用程序和服务帐户。指定一个所有者。删除没有所有者的任何东西。
减少访问其次。将范围缩小到工作流程所需的最小范围。将读访问与写访问分开。删除旧的试点、不活跃的供应商和被遗忘的自动化。
撤销并轮换第三。轮换高风险集成。撤销陈旧的刷新令牌。确认供应商端和您端均已更改。
亨特第四。搜索 API 日志以查找对象目录枚举、大量查询、异常分页、可疑用户代理、非工作时间导出、奇怪的源网络以及对敏感自定义对象的访问。
第五，添加证据。保留导出、时间戳、屏幕截图、规则更改、日志查询和关闭注释。这些证据在客户提问和保险审查期间变得有用。
认证第六。干净的结果只有在可以展示时才具有商业价值。安全认证将技术收敛转变为决策工件。
团队问题
下一个企业团队将提出一个更尖锐的问题。他们会询问贵公司如何控制第三方对业务数据的访问。他们会询问过时的集成被删除的速度有多快。他们会询问服务帐户是否受到监控。他们会询问您的 CRM 是否可以在没有人注意到的情况下进行大规模查询。
这些问题是公平的。
能够回答这些问题的公司赢得了速度。无法答复的公司将延迟付款。Klue 和 Salesforce 的案例就是一个信号。令牌现在是攻击面的一部分。 SaaS 集成现在已成为外围的一部分。安全审查需要证明承载收入数据的业务系统受到控制、监控并准备好接受审查。
SToFU Systems 帮助公司使这一证明成为现实。
