347.000 utenti Trezor colpiti da phishing tramite la violazione di Brevo
Gli attacchi di phishing ai danni di Trezor hanno esposto 347.000 indirizzi email dopo una violazione presso Brevo, il provider email di terze parti dell'azienda, e hanno coinvolto 2.500 utenti che hanno cliccato un link malevolo prima che fosse disattivato, ha avvertito l'azienda mercoledì.
I messaggi di phishing erano progettati per sembrare un avviso di sicurezza critico. Secondo i clienti che li hanno ricevuti, le email provenivano da help@trezor.io e sostenevano che una 'vulnerabilità del microcontrollore hardware' nei microcontrollori STM32 usati all'interno dei wallet cold storage Trezor potesse esporre le loro seed phrase al cracking tramite forza bruta. Un hardware wallet è un piccolo dispositivo fisico che mantiene le chiavi private delle criptovalute offline, lontano dai computer connessi a Internet, quindi un avviso sul suo chip appare immediatamente serio. Il falso avviso diceva ai destinatari di cliccare un link e scaricare un'app che poi chiedeva di inserire il backup del wallet, cioè la lista segreta di parole che controlla un wallet di criptovalute e permette a chiunque la possieda di prendere i fondi. Trezor afferma che il suo team ha rimosso il dominio usato negli attacchi di phishing entro 20 minuti, disattivando così il link e limitando l'impatto della campagna a 2.500 clienti che lo avevano già cliccato.
Trezor ha spiegato che il 9 settembre 2026 Brevo ha subito un incidente di sicurezza che ha coinvolto 120 account Brevo. Un attore non autorizzato ha ottenuto accesso al sistema di Brevo e lo ha usato per inviare email da vari account di clienti, incluso quello di Trezor. L'incidente ha interessato il database della newsletter opt-in di Trezor, circa 347.000 indirizzi email, e nessun altro sistema Trezor è stato toccato. Trezor ha sospeso l'account Brevo per fermare ulteriori invii di email e ha avvertito che gli indirizzi esposti potrebbero essere usati per altri tentativi di phishing in futuro. Un provider email di terze parti è una società esterna che un'azienda assume per gestire i propri messaggi di marketing e newsletter, quindi una compromissione in quel punto può dare agli attaccanti un canale credibile per inviare email false sotto il nome di un marchio ben noto.
Non è la prima volta che i clienti Trezor vengono coinvolti in una violazione presso un partner. A gennaio 2024, Trezor ha reso nota un'altra violazione di dati dopo che il suo portale di supporto ticketing di terze parti è stato violato e gli attaccanti hanno rubato dati, inclusi nomi, username e indirizzi email, di circa 66.000 utenti. Il mese scorso, Trezor ha anche reso nota una violazione di dati dopo che gli attori malevoli hanno violato ShipMonk, il suo fornitore di logistica e spedizioni, usando una vulnerabilità zero-day critica di SQL injection in Metabase. Quell'attacco ha rubato i dati degli ordini dei clienti, inclusi nomi completi, indirizzi di spedizione, indirizzi email e numeri di telefono. Trezor inizialmente ha detto che l'incidente ha coinvolto quasi 14.000 clienti, ma un'indagine successiva ha rilevato che altri 67.000 clienti statunitensi erano stati colpiti, portando il totale a 81.000 persone. L'azienda ha detto che l'incidente ha coinvolto anche clienti in Brasile, Colombia, Italia, Portogallo, Svezia e Regno Unito che hanno ricevuto ordini tra il 10 maggio e l'8 agosto 2026. Da allora, BleepingComputer ha appreso che ShipMonk ha ricevuto email di estorsione dalla gang di estorsione ShinyHunters dopo quella violazione. Una vulnerabilità zero-day è un difetto che il produttore del software non conosce ancora, quindi non esiste una correzione quando gli attaccanti iniziano a usarla. L'SQL injection è una tecnica in cui un attaccante invia comandi dannosi al database attraverso un modulo di inserimento per rubare o modificare dati.
Per i proprietari di siti web, le aziende e i team IT, l'incidente Trezor e Brevo è un promemoria del fatto che le liste email e i dati dei clienti spesso passano attraverso servizi di terze parti, e quei fornitori possono diventare l'anello più debole. Le campagne di phishing costruite su un marchio reale e una violazione reale sono molto più difficili da individuare per i destinatari rispetto allo spam ordinario. La combinazione di una lista opt-in rubata, un nome del mittente falsificato e un falso avviso di sicurezza è esattamente il tipo di messaggio che porta le persone a consegnare le credenziali dell'account o, in questo caso, i backup del wallet. Le organizzazioni possono ridurre questo rischio rivedendo quali terze parti possono inviare email per loro conto, monitorando attività di campagne insolite e applicando un'autenticazione rigorosa per la posta in uscita. Per le aziende che desiderano un aiuto indipendente per rafforzare l'accesso dei fornitori e i processi di sicurezza, AEU-I fornisce IT, infrastruttura e consulenza all'insegna della sicurezza. La lezione pratica è semplice: nessun wallet legittimo o team di sicurezza ti chiederà mai di digitare la tua seed phrase in un'app.