Вразливість входу в Brevo сприяла фішинговій розсилці, націленій на 347 тисяч підписників Trezor

Зловмисник скористався вразливістю в системі входу платформи електронної пошти Brevo, щоб отримати доступ до 138 облікових записів клієнтів.

Це дозволило відправити фішинговий лист приблизно 347 тисячам підписників розсилки Trezor та подібні шахрайські повідомлення через облікові записи виробника апаратних гаманців BitBox і платформи CoinTracking, що займається відстеженням криптопротоколів. У своєму звіті Brevo повідомила, що шість облікових записів використовувалися для розсилки фішингових електронних листів, з 43 облікових записів були експортовані контакти, а 93 не показали жодної суттєвої активності.

Платформа не уточнила, чи перекриваються ці категорії. Зловмисник створив обліковий запис у Brevo, активував функцію одноразового входу та запросив легітимних користувачів Brevo для налаштування.

Brevo стверджує, що доступ мав бути обмежений лише цією організацією, однак виникла проблема з авторизацією, що дозволила доступ до всіх організацій, до яких могли дістатися запрошені користувачі. Це повідомлення доповнює попередження, які Trezor і BitBox випустили в середу, вказуючи на спільного постачальника та пояснюючи, чому електронні листи пройшли звичайні перевірки автентифікації та виглядали справжніми. Фірми криптоіндустрії оцінюють потенційний вплив на підписників.

Trezor у блозі повідомила, що фішингове повідомлення з заголовком “Критичне сповіщення про безпеку: уразливість STM32 Entropy” містило посилання на додаток, що вимагав резервні копії гаманців користувачів.

Компанія заблокувала домен на рівні DNS протягом 20 хвилин, але близько 2,500 осіб встигли перейти за посиланням. Представник Trezor сказав, що “первинний електронний лист був надісланий 347,000 клієнтів”, усі з яких згодом отримали сповіщення про ризик.

Обліковий запис компанії в Brevo містив лише адреси електронної пошти з опцією підписки на розсилку, без інших даних клієнтів.

Представник BitBox підтвердив, що їхній несанкціонований електронний лист був надісланий через Brevo і ймовірно досягнув усіх підписників їхньої розсилки.

BitBox заявила, що Brevo зберігала лише адреси електронної пошти та уподобання мов, не знайшовши доказів компрометації корпоративних даних, завантаження контактів, втрати коштів чи розкриття фраз відновлення, але вважає список потенційно доступним, очікуючи на журнали Brevo. Тим часом CoinTracking повідомив, що їхній обліковий запис у Brevo розіслав електронний лист з заголовком “Повідомлення про витік даних: будь ласка, оновіть API ключі якомога швидше.” Він попереджав отримувачів не переходити за посиланнями в електронному листі.