Una falla nell’accesso a Brevo ha permesso di inviare un’e-mail di phishing a 347.000 iscritti di Trezor

Un aggressore ha sfruttato una falla nel sistema di accesso della piattaforma e-mail Brevo per ottenere accesso a 138 account di clienti, consentendo a un’e-mail di phishing di raggiungere circa 347.000 iscritti alla newsletter di Trezor e a messaggi fraudolenti analoghi di essere distribuiti tramite gli account del produttore di wallet hardware BitBox e della piattaforma CoinTracking per il monitoraggio dei portafogli crypto e la dichiarazione dei redditi.

In un’analisi dell’incidente pubblicata giovedì, Brevo ha dichiarato che sei account sono stati utilizzati per inviare e-mail di phishing, i contatti sono stati esportati da 43 account e in 93 account non è stata rilevata alcuna attività significativa. La piattaforma non ha precisato se le categorie si sovrapponessero. 

L’aggressore ha creato un account Brevo, attivato il single sign-on e invitato utenti legittimi di Brevo nella configurazione. Brevo ha dichiarato che l’accesso avrebbe dovuto essere limitato a quell’organizzazione, ma un confine di autorizzazione non ha funzionato e ha concesso l’accesso a tutte le organizzazioni che gli utenti invitati potevano raggiungere.

La divulgazione amplia gli avvertimenti emessi da Trezor e BitBox mercoledì, identificando il loro fornitore comune e spiegando perché le e-mail hanno superato i normali controlli di autenticazione e apparivano autentiche. 

Cointelegraph ha contattato Brevo per ottenere ulteriori informazioni, ma non ha ricevuto risposta prima della pubblicazione. 

Le società crypto valutano la potenziale esposizione dei dati degli iscritti 

In un post sul blog, Trezor ha dichiarato che il messaggio di phishing, intitolato «Avviso di sicurezza critico: vulnerabilità dell’entropia STM32», conteneva un link a un’applicazione che chiedeva agli utenti i backup dei wallet. La società ha disattivato il dominio a livello DNS entro 20 minuti, ma circa 2.500 persone hanno aperto il link prima della disattivazione.

Un portavoce di Trezor ha dichiarato a Cointelegraph che «l’e-mail iniziale è stata inviata a 347.000 clienti» e che successivamente tutti sono stati contattati in merito al rischio. L’account Brevo della società conservava solo gli indirizzi e-mail degli iscritti che avevano accettato di ricevere la newsletter e nessun altro dato dei clienti.

«Finché non riceveremo ulteriori informazioni da Brevo, consideriamo tutti i circa 347.000 indirizzi della newsletter come noti all’aggressore e potenzialmente riutilizzabili per attacchi di phishing», ha dichiarato il portavoce.

Articolo correlato: Liquid Network riprende la produzione di blocchi dopo un exploit da 320 milioni di dollari

Un portavoce di BitBox ha dichiarato a Cointelegraph che la sua e-mail non autorizzata è stata inviata tramite Brevo e sembrava aver raggiunto l’intero elenco di newsletter e tutorial. 

BitBox ha dichiarato che Brevo conservava solo gli indirizzi e-mail e le preferenze linguistiche. Non ha rilevato prove di compromissione delle credenziali aziendali, di download dei contatti, di perdita di fondi o di divulgazione delle frasi di recupero, ma considera l’elenco potenzialmente consultato e attende i registri di Brevo.

Nel frattempo, CoinTracking ha dichiarato che dal suo account Brevo è stata distribuita un’e-mail intitolata «Avviso di violazione dei dati: aggiorna le chiavi API il prima possibile». La società ha avvertito i destinatari di non seguire i link presenti nell’e-mail.

Rivista: 10 dei più grandi misteri irrisolti del settore crypto