攻撃者はメールプラットフォームBrevoのログインシステムの欠陥を悪用し、138の顧客アカウントにアクセスしました。これにより、約347,000人のTrezorニュースレター購読者にフィッシングメールが送信され、ハードウェアウォレットメーカーのBitBoxと、暗号資産ポートフォリオの追跡・税務報告プラットフォームであるCoinTrackingのアカウントからも同様の不正メッセージが配信されました。

木曜日に公開された事後分析で、Brevoは、6つのアカウントがフィッシングメールの送信に使われ、43のアカウントから連絡先がエクスポートされ、93のアカウントでは意味のある活動が確認されなかったと説明しました。同社は、これらのカテゴリーが重複していたかどうかは明らかにしていません。

攻撃者はBrevoアカウントを作成し、シングルサインオンを有効にしたうえで、正規のBrevoユーザーをその設定に招待しました。Brevoによると、アクセスは本来その組織内に限定されるはずでした。しかし、認可の境界が機能せず、招待されたユーザーがアクセスできるすべての組織へのアクセスが攻撃者に付与されました。

今回の開示は、水曜日にTrezorとBitBoxが出した警告を受けた追加説明に当たります。両社が共通して利用していたメールプロバイダーを特定し、不正メッセージが通常の認証チェックを通過し、本物に見えた理由を説明しました。CointelegraphはBrevoに追加情報を求めましたが、記事公開前に回答はありませんでした。

今回報告された流出の対象はメールアカウントとメーリングリストのデータであり、認証情報、資金、リカバリーフレーズが侵害されたかどうかについては、各社が個別に説明しています。影響を受けた顧客の全容はプロバイダーの記録に左右される状況で、BitBoxはBrevoのログを待っており、BrevoはCointelegraphの問い合わせに対してまだ追加情報を提供していません。

暗号資産企業、購読者情報への潜在的な影響を評価

Trezorのブログ記事によると、フィッシングメッセージには「Critical Security Alert: STM32 Entropy Vulnerability（重大なセキュリティ警告：STM32エントロピーの脆弱性）」という件名が付けられ、ユーザーのウォレットバックアップを要求するアプリケーションへのリンクが含まれていました。Trezorは20分以内にDNSレベルでドメインを無効化しましたが、停止前に約2,500人がリンクにアクセスしました。

Trezorの広報担当者はCointelegraphに対し、「最初のメールは347,000人の顧客に送信された」と述べました。同社はその後、全員にリスクを知らせました。Trezorによると、同社のBrevoアカウントに保存されていたのは、購読に同意したニュースレターのメールアドレスだけで、その他の顧客データは含まれていませんでした。

広報担当者は、「Brevoからさらに情報が得られるまで、約347,000件のニュースレターアドレスすべてが攻撃者に知られ、フィッシングに再利用される可能性があるものとして扱っている」と述べました。

BitBoxの広報担当者はCointelegraphに対し、同社の不正メールはBrevo経由で送信され、ニュースレターとチュートリアルのリスト全体に届いたとみられると説明しました。BitBoxによると、Brevoが保有していたのはメールアドレスと言語設定だけでした。同社の認証情報が侵害されたこと、連絡先がダウンロードされたこと、資金が失われたこと、リカバリーフレーズが開示されたことを示す証拠は見つかっていません。ただし、Brevoのログを待つ間、リストにはアクセスされた可能性があるものとして対応しています。

CoinTrackingは、同社のBrevoアカウントから「Data Breach Notice: Please refresh API Keys as soon as possible.（データ侵害のお知らせ：できるだけ早くAPIキーを更新してください）」という件名のメールが配信されたと説明しました。同社は受信者に対し、メッセージ内のリンクを開かないよう警告しました。Cointelegraphの報道は https://cointelegraph.com/news/brevo-login-flaw-trezor-bitbox-cointracking-phishing で確認できます。