Un aggressore ha sfruttato una falla nel sistema di accesso della piattaforma email Brevo per accedere a 138 account dei clienti, consentendo l’invio di email di phishing a circa 347.000 iscritti alla newsletter di Trezor e di messaggi fraudolenti simili tramite gli account appartenenti al produttore di hardware wallet BitBox e alla piattaforma di monitoraggio del portafoglio crypto e di rendicontazione fiscale CoinTracking.

In un rapporto post-incidente pubblicato giovedì, Brevo ha dichiarato che sei account sono stati utilizzati per inviare email di phishing, che i contatti sono stati esportati da 43 account e che 93 account non hanno mostrato attività significativa. La società non ha specificato se le categorie si sovrapponessero.

L’aggressore ha creato un account Brevo, attivato il single sign-on e invitato utenti legittimi di Brevo nella sua configurazione. Brevo ha dichiarato che l’accesso avrebbe dovuto rimanere limitato a quell’organizzazione. Tuttavia, un confine di autorizzazione non ha funzionato, concedendo all’aggressore l’accesso a tutte le organizzazioni che gli utenti invitati potevano raggiungere.

La divulgazione fornisce ulteriori dettagli dopo gli avvisi diffusi da Trezor e BitBox mercoledì. Ha identificato il provider email condiviso dalle due società e spiegato perché i messaggi fraudolenti hanno superato i normali controlli di autenticazione e sembravano autentici. Cointelegraph ha contattato Brevo per ulteriori informazioni, ma non aveva ricevuto risposta prima della pubblicazione.

L’esposizione segnalata riguarda gli account email e i dati delle mailing list; le dichiarazioni delle società affrontano separatamente l’eventuale compromissione di credenziali, fondi o frasi di recupero. L’entità complessiva dell’impatto sui clienti interessati dipende ancora dai dati del provider: BitBox attende i log di Brevo, mentre Brevo non ha ancora fornito ulteriori informazioni in risposta alla richiesta di Cointelegraph.

Le società crypto valutano la possibile esposizione degli iscritti

In un post sul blog, Trezor ha dichiarato che il messaggio di phishing, intitolato “Critical Security Alert: STM32 Entropy Vulnerability”, conteneva un link a un’applicazione che richiedeva i backup dei wallet degli utenti. Trezor ha disattivato il dominio a livello DNS entro 20 minuti, ma circa 2.500 persone hanno visitato il link prima che venisse rimosso.

Un portavoce di Trezor ha dichiarato a Cointelegraph che “the initial email was sent to 347,000 customers.” La società li ha successivamente contattati tutti in merito al rischio. Trezor ha affermato che il suo account Brevo conteneva esclusivamente indirizzi email di iscritti consenzienti alla newsletter e nessun altro dato dei clienti.

“Until we hear more from Brevo, we are treating all roughly 347,000 newsletter addresses as known to the attacker and possibly reusable for phishing,” ha dichiarato il portavoce.

Un portavoce di BitBox ha dichiarato a Cointelegraph che la sua email non autorizzata è stata inviata tramite Brevo e sembra aver raggiunto l’intero elenco di iscritti alla newsletter e ai tutorial della società. BitBox ha affermato che Brevo conservava solo indirizzi email e preferenze linguistiche. Non ha trovato prove di compromissione delle credenziali aziendali, download dei contatti, perdita di fondi o divulgazione di frasi di recupero. Tuttavia, considera l’elenco potenzialmente accessibile in attesa dei log di Brevo.

CoinTracking ha dichiarato che il suo account Brevo ha distribuito un’email intitolata “Data Breach Notice: Please refresh API Keys as soon as possible.” La società ha avvertito i destinatari di non seguire i link presenti nel messaggio. Il report di Cointelegraph è disponibile all’indirizzo https://cointelegraph.com/news/brevo-login-flaw-trezor-bitbox-cointracking-phishing.