Falha no login da Brevo permitiu e-mail de phishing direcionado a 347 mil assinantes da Trezor

Um invasor explorou uma falha no sistema de login da plataforma de e-mail Brevo para acessar 138 contas de clientes, permitindo que um e-mail de phishing chegasse a aproximadamente 347 mil assinantes da newsletter da Trezor e que mensagens fraudulentas semelhantes fossem distribuídas por meio de contas pertencentes à fabricante de carteiras de hardware BitBox e à plataforma de rastreamento de portfólio e declaração de impostos de cripto CoinTracking.

Em uma análise publicada na quinta-feira, a Brevo disse que seis contas foram usadas para enviar e-mails de phishing, contatos foram exportados de 43 e 93 contas não apresentaram atividade significativa. A plataforma não especificou se as categorias se sobrepunham. 

O invasor criou uma conta na Brevo, ativou o login único e convidou usuários legítimos da Brevo para a configuração. A Brevo disse que o acesso deveria ter ficado restrito àquela organização, mas uma fronteira de autorização falhou e concedeu acesso a todas as organizações que os usuários convidados podiam acessar.

A divulgação amplia os alertas emitidos pela Trezor e pela BitBox na quarta-feira, identificando o provedor compartilhado e explicando por que os e-mails passaram pelas verificações normais de autenticação e pareceram genuínos. 

A Cointelegraph entrou em contato com a Brevo para obter mais informações, mas não recebeu resposta antes da publicação. 

Empresas de cripto avaliam possível exposição de assinantes 

Em uma publicação no blog, a Trezor disse que a mensagem de phishing, intitulada “Alerta de segurança crítico: vulnerabilidade de entropia do STM32”, continha um link para um aplicativo que solicitava os backups das carteiras dos usuários. A empresa desativou o domínio no nível do DNS em 20 minutos, mas cerca de 2.500 pessoas acessaram o link antes da retirada do ar.

Um porta-voz da Trezor disse à Cointelegraph que “o e-mail inicial foi enviado a 347 mil clientes”, todos posteriormente contatados sobre o risco. A conta da empresa na Brevo armazenava apenas endereços de e-mail de assinantes que haviam optado por receber a newsletter, além de nenhum outro dado de cliente.

“Até ouvirmos mais da Brevo, estamos tratando todos os cerca de 347 mil endereços da newsletter como conhecidos pelo invasor e possivelmente reutilizáveis para phishing”, disse o porta-voz.

Relacionado: A Liquid Network retoma a produção de blocos após exploração de US$ 320 milhões

Um porta-voz da BitBox disse à Cointelegraph que seu e-mail não autorizado foi enviado pela Brevo e parece ter alcançado toda a sua lista de newsletters e tutoriais. 

A BitBox disse que a Brevo mantinha apenas endereços de e-mail e preferências de idioma. Não encontrou evidências de credenciais da empresa comprometidas, contatos baixados, fundos perdidos ou frases de recuperação divulgadas, mas está tratando a lista como potencialmente acessada enquanto aguarda os registros da Brevo.

Enquanto isso, a CoinTracking disse que sua conta na Brevo distribuiu um e-mail intitulado “Aviso de violação de dados: atualize as chaves de API assim que possível”. A empresa alertou os destinatários para não seguir os links do e-mail.

Revista: 10 dos maiores mistérios não resolvidos das criptomoedas