Je suis tombé sur le rapport complet de l’incident de Foundation, le fabricant de portefeuilles matériels : fin octobre, quelqu’un a compromis leur système de prise de rendez-vous Cal.com auto-hébergé, puis a exploité une faille de Bank-Vaults pour récupérer des identifiants. Avec leur adresse e-mail officielle, cette personne a envoyé plus de 23 000 e-mails d’hameçonnage ciblant environ 21 000 adresses.

Le pire, c’est qu’ils ont ensuite appelé les victimes : ils citaient leur nom, leur adresse, leur numéro de commande et même les quatre derniers chiffres de leur carte bancaire, en prétendant que les appareils Passport faisaient l’objet d’un rappel. Ils leur demandaient de « vérifier leur phrase de récupération » ou de transférer leurs cryptomonnaies vers un prétendu coffre-fort. L’entreprise insiste : les appareils Passport et les cryptomonnaies qu’ils contiennent n’ont pas été piratés, et il n’y a aucun rappel. Elle prévoit de moins s’appuyer sur l’auto-hébergement et de recourir davantage à des services hébergés.

Même avec un matériel ultra-sécurisé, si les e-mails du service client et le système de prise de rendez-vous sont compromis, l’ingénierie sociale peut toujours s’en prendre aux personnes.
#Foundation #硬件钱包 #Hameçonnage