347,000 përdorues të Trezor goditen nga phishing përmes shkeljes së Brevo

Sulmet phishing ndaj Trezor kanë ekspozuar 347,000 adresa email pas një shkeljeje te Brevo, ofruesi i emailit i palës së tretë të kompanisë, dhe kanë prekur 2,500 përdorues që klikuan një link malicioz përpara se ai të çaktivizohej, paralajmëroi kompania të mërkurën.

Mesazhet phishing ishin krijuar për t'u dukur si një alarm kritik sigurie. Sipas klientëve që i morën ato, email-et vinin nga help@trezor.io dhe pretendonin se një 'cenueshmëri e mikrokontrolluesit të harduerit' në mikrokontrolluesit STM32 të përdorur brenda portofolave të ftohtë Trezor mund t'i ekspozonte frazat e tyre të fshehta ndaj thyerjes me forcë brutale. Një portofol harduerik është një pajisje e vogël fizike që mban çelësat privatë të kriptovalutës jashtë linje, larg kompjuterëve të lidhur me internetin, kështu që një paralajmërim për çipin e tij menjëherë duket serioz. Alarma e rreme u thoshte marrësve të klikonin një link dhe të shkarkonin një aplikacion që më pas u kërkonte të jepnin kopjen rezervë të portofolit, që është lista sekrete e fjalëve që kontrollon një portofol kriptovalute dhe lejon këdo që e ka atë të marrë fondet. Trezor thotë se ekipi i tij hoqi domenin e përdorur në sulmet phishing brenda 20 minutash, gjë që çaktivizoi linkun dhe kufizoi ndikimin e fushatës në 2,500 klientë që e kishin klikuar tashmë atë.

Trezor shpjegoi se më 9 shtator 2026, Brevo pësoi një incident sigurie që preku 120 llogari Brevo. Një aktor i paautorizuar fitoi akses në sistemin e Brevo dhe e përdori atë për të dërguar email-e nga llogari të ndryshme klientësh, përfshirë atë të Trezor. Incidenti preku bazën e të dhënave të buletinit me pëlqim të Trezor, rreth 347,000 adresa email, dhe asnjë sistem tjetër i Trezor nuk u prek. Trezor pezulloi llogarinë e Brevo për të ndaluar shpërndarjen e mëtejshme të email-eve dhe paralajmëroi se adresat e ekspozuara mund të përdoren për përpjekje të tjera phishing në të ardhmen. Një ofrues emaili i palës së tretë është një kompani e jashtme që një biznes punëson për të menaxhuar mesazhet e tij të marketingut dhe buletinit, kështu që një kompromis atje mund t'u japë sulmuesve një kanal të besueshëm për të dërguar email-e të rreme nën një emër të njohur marke.

Kjo nuk është hera e parë që klientët e Trezor përfshihen në një shkelje te një partner. Në janar 2024, Trezor zbuloi një shkelje tjetër të dhënash pasi portali i tij i biletave të mbështetjes nga palë e tretë u hakua dhe sulmuesit vodhën të dhëna, përfshirë emra, emra përdoruesish dhe adresa email, nga rreth 66,000 përdorues. Muajin e kaluar, Trezor gjithashtu zbuloi një shkelje të dhënash pasi aktorët e kërcënimit hakuar ShipMonk, ofruesin e tij të logjistikës dhe dërgesave, duke përdorur një cenueshmëri kritike zero-day të injeksionit SQL në Metabase. Ai sulm vodhi të dhënat e porosive të klientëve, përfshirë emrat e plotë, adresat e dërgesës, adresat email dhe numrat e telefonit. Trezor fillimisht tha se incidenti preku pothuajse 14,000 klientë, por një hetim pasues zbuloi se 67,000 klientë shtesë në SHBA u prekën, duke e çuar totalin në 81,000 individë. Kompania tha se incidenti preku gjithashtu klientë në Brazil, Kolumbi, Itali, Portugali, Suedi dhe Mbretërinë e Bashkuar që morën porosi midis 10 majit dhe 8 gushtit 2026. Që atëherë, BleepingComputer mësoi se ShipMonk mori email-e shantazhi nga banda e shantazhit ShinyHunters pas asaj shkeljeje. Një cenueshmëri zero-day është një e metë që prodhuesi i softuerit nuk e di ende, kështu që nuk ekziston asnjë rregullim kur sulmuesit fillojnë ta përdorin atë. Injeksioni SQL është një teknikë në të cilën një sulmues paraqet komanda të dëmshme të bazës së të dhënave përmes një formulari hyrjeje për të vjedhur ose ndryshuar të dhëna.

Për pronarët e faqeve të internetit, bizneset dhe ekipet e IT-së, incidenti Trezor dhe Brevo është një kujtesë se listat e email-eve dhe të dhënat e klientëve shpesh kalojnë përmes shërbimeve të palëve të treta, dhe ato furnitorë mund të bëhen lidhja më e dobët. Fushatat phishing të ndërtuara mbi një markë reale dhe një shkelje reale janë shumë më të vështira për t'u dalluar nga marrësit sesa spam-i i zakonshëm. Kombinimi i një liste të vjedhur me pëlqim, një emri të falsifikuar dërguesi dhe një alarmi të rremë sigurie është pikërisht lloji i mesazhit që i shtyn njerëzit të dorëzojnë kredencialet e llogarisë ose, në këtë rast, kopjet rezervë të portofolit. Organizatat mund ta zvogëlojnë këtë rrezik duke rishikuar se cilat palë të treta mund të dërgojnë email në emër të tyre, duke monitoruar për aktivitet të pazakontë fushatash dhe duke zbatuar autentikim të rreptë për postën dalëse. Për bizneset që duan ndihmë të pavarur për të shtrënguar aksesin e furnitorëve dhe proceset e sigurisë, AEU-I ofron IT, infrastrukturë dhe konsulencë të fokusuar së pari në sigurinë. Mësimi praktik është i drejtpërdrejtë: asnjë portofol legjitim ose ekip sigurie nuk do t'ju kërkojë ndonjëherë të shkruani frazën tuaj të fshehtë në një aplikacion.