2026 年 6 月，競品分析工具 Klue 被入侵。根據資安公司 Huntress 整理的時間線，攻擊者先用一組早已沒人使用、卻仍然有效的帳號進入 Klue；那是 Klue 當年為某個原型整合建立的帳號。接著他們在 Klue 的系統裡植入程式，收集客戶連到 Salesforce、Gong 等平台的 OAuth 授權權杖，再拿這些權杖直接查詢客戶的 CRM，把資料帶走。這種權杖是讓第三方工具代表你存取資料的通行證。Huntress 自己也是受害者之一，被帶走的包括商業聯絡人、試用過的產品、訂閱價格和銷售往來紀錄。
這個入口不在受害公司身上。被拿來當跳板的舊帳號在供應商那裡，受害者再怎麼加強自己的登入保護也擋不住。但每一家受害公司損失多大，是由同一件事決定的：當初授權給 Klue 的權杖，讀得到多少東西。
所以第三方工具接上 CRM 時，要把它當成一扇側門來管理。供應商的漏洞你修不了，你能控制的是三件事：給它多少讀取權限、看不看得到異常查詢、出事時多快撤銷。
權杖被拿走後，查詢看起來都是合法的
整合工具在安裝畫面上通常只問一次「是否允許存取」，按下同意後，它就以合法的方式持續讀取資料。攻擊者拿到權杖之後，查詢看起來也是合法的 API 呼叫，不需要打進 CRM 本身。
資安公司 ReliaQuest 的分析指出，攻擊者先列出整個 CRM 有哪些資料物件，再分頁大量查詢；在至少一個環境裡，十五分鐘內送出將近一千次查詢，另一個案例的資料擷取持續超過六小時。這些行為如果有人在看，是看得出來的。
替每個整合回答三個問題
它讀得到什麼？ 列出每個能讀 CRM 的第三方工具，寫下它能讀哪些物件：聯絡人、商機、報價、合約、附件、客服紀錄，以及能不能寫入。一個競品分析工具可能只需要少數商機欄位，卻拿到整個帳戶的讀取權。能縮就縮，能分環境、分物件就不要共用一把鑰匙。
誰看得到異常？ 設定大量查詢、陌生來源位址、非上班時間大量匯出的通知，並指定收到通知的人。ReliaQuest 也建議，替第三方整合帳號限制可連入的位址範圍。
出事時怎麼關？ 寫清楚每個整合的負責人、撤銷授權和結束連線的步驟，以及停用後哪些流程會中斷、由誰接手。Huntress 的建議是撤銷受影響服務的所有連線，不只撤銷那個整合。
先做一張整合清單
小團隊不需要一次做成資安專案，先列一張整合清單：工具名稱、負責人、讀得到什麼、用個人帳號還是服務帳號授權、怎麼停用、上次檢查日期。每月看一次，把九十天沒人管、找不到負責人的授權先停掉。
這張表要能在出事當下回答三個問題：誰負責、能讀什麼、怎麼關掉。清單裡的負責人，是出事時能決定要不要停用、要不要通知客戶的人，不一定是當初安裝的人。
縮小權限只能降低損失
縮小權限只能降低損失，不能讓供應商不被入侵。資料已經被帶走時，後續的通知客戶、法務判斷和保險理賠，都要由公司的負責人決定，不是工程師或 AI 能單獨處理的。Huntress 也提醒，不要自己去打開外洩的資料包，那類檔案常夾帶惡意程式，應交給事件處理團隊或法律顧問確認。
同樣的道理也適用在公司內部的 AI 流程工具上：流程裡握著哪些鑰匙，就決定出事時的範圍，參考〈AI 流程工具出事時，先查流程裡握著哪些鑰匙〉。跨系統的 AI 代理要怎麼分段給權限，參考〈AI agent 跨系統辦事，每到一站都該換一把新鑰匙〉。
AI 整理卡
我想盤點公司 CRM 接了哪些第三方工具，確認萬一其中一家被入侵，我們的損失範圍有多大、能多快止血。
判斷方法來自這篇文章：https://boosterminiclass.com/posts/crm-integration-token-breach-checklist/
文章的看法是：第三方工具被入侵時，CRM 損失多大取決於當初給它的權限。供應商的漏洞修不了，能控制的是：給它多少讀取權限、看不看得到異常查詢、出事時多快撤銷。
我會提供整合工具的清單和目前已知的授權範圍（不含任何金鑰、權杖或密碼）。請：
1. 整理成一張整合清單：工具名稱、負責人、讀得到哪些物件、能否寫入、授權用的帳號類型、停用方式；缺的欄位標示「待確認」；
2. 標出權限明顯大於用途的整合，並建議縮小方式；
3. 建議要設定的異常查詢通知（例如短時間大量查詢、陌生來源、非上班時間匯出），以及收到通知的人；
4. 寫一份出事時的撤銷步驟草稿，包含要撤銷的授權、要結束的連線、會中斷的流程與接手人。
是否通知客戶或主管機關，只列出需要負責人決定的問題，不要替我下結論。
參考來源
- Huntress blog：Cybercrime Breaches Klue: Salesforce Data Impacted for Many Victims, including Huntress — https://www.huntress.com/blog/klue-breach-investigation [accessed: 2026-10-11]
- ReliaQuest：Klue Integration Abused in Salesforce Data Theft — https://reliaquest.com/blog/threat-spotlight-integration-abused-in-crm-data-theft/（2026-06-17）
- Help Net Security：Klue breach lead to Salesforce data theft, Huntress affected — https://www.helpnetsecurity.com/2026/06/19/klue-salesforce-data-breach-huntress/（2026-06-19）
