Trezor a déclaré le 9 septembre que des attaquants avaient exploité une faille chez son fournisseur de messagerie électronique tiers pour envoyer un message d’hameçonnage à son audience de la newsletter, exposant ainsi un risque potentiel d’arnaque à long terme pour environ 347 000 adresses e-mail. Le fabricant de portefeuilles matériels a indiqué que ses systèmes de portefeuille n’avaient pas été compromis, mais a averti les destinataires de ne pas cliquer sur un lien dans un e-mail intitulé « Critical Security Alert: STM32 Entropy Vulnerability ».
La campagne a transformé le canal habituel d’e-mails clients de Trezor en vecteur d’une fausse annonce de sécurité. Bien que l’opération immédiate ait été mise hors ligne, Trezor a traité les adresses de la newsletter comme possiblement connues des attaquants et donc utilisables dans de futures tentatives d’hameçonnage plus ciblées.
Faille SAML de Brevo : accès des attaquants aux comptes e-mail clients
L’intrusion est partie de Brevo, le fournisseur de services de messagerie utilisé par Trezor. Dans un compte rendu d’incident, Brevo a indiqué qu’un attaquant avait exploité une faille de son système de connexion unique (SSO) SAML pour accéder à 138 comptes clients.
Six de ces comptes ont été utilisés pour distribuer des e-mails d’hameçonnage, tandis que des contacts ont été exportés depuis 43 comptes, selon Brevo. Le fournisseur a indiqué qu’il avait fermé la voie d’accès à 08:30 UTC le 10 septembre.
Les chiffres divulgués couvrent l’incident Brevo dans son ensemble, plutôt que Trezor seul. Ils montrent néanmoins que les attaquants avaient accès non seulement à une liste de contacts distincte, mais à des comptes e-mail clients capables d’envoyer des messages via une infrastructure professionnelle familière.
Alerte STM32 fausse utilisée par l’infrastructure d’expéditeur de Trezor
L’e-mail affirmait à tort qu’environ un appareil Trezor sur quatre présentait un défaut matériel lié à une faible entropie, ce que Trezor a déclaré faux, et proposait un lien comme réponse de sécurité au problème allégué.
The Register a rapporté que les e-mails provenaient de l’infrastructure e-mail légitime de Trezor, ce qui les rendait plus susceptibles de passer les contrôles de routine d’authentification de l’expéditeur. Cela a supprimé un signal d’alerte sur lequel les destinataires s’appuient souvent pour évaluer les messages crypto non sollicités.
L’avis public de Trezor du 9 septembre identifiait la ligne d’objet du message et indiquait aux utilisateurs de ne pas interagir avec le lien intégré. L’entreprise a déclaré qu’il s’agissait d’une compromission de l’infrastructure du serveur de messagerie de son fournisseur tiers, plutôt que de ses systèmes de portefeuille.
Environ 2 500 destinataires ont accédé à un site demandant des sauvegardes de portefeuille
Environ 2 500 destinataires ont cliqué sur le lien malveillant avant que Trezor ne mette hors ligne le site associé, selon SecurityWeek. Le média a indiqué que l’entreprise a supprimé le site environ 20 minutes après avoir détecté la campagne.
L’application liée demandait aux utilisateurs leurs sauvegardes de portefeuille. Une sauvegarde de portefeuille peut permettre de contrôler les fonds associés, ce qui signifie que toute personne qui en a saisi une dans une application malveillante pouvait faire face à un vol irréversible.
Les divulgations disponibles n’établissent pas combien, le cas échéant, de destinataires ont soumis une sauvegarde. Elles tracent toutefois une ligne claire entre l’exposition de la liste de contacts et le risque plus sérieux créé si un destinataire fournissait du matériel de récupération sur le site d’hameçonnage. Trezor a déclaré que la base de données de la newsletter elle-même ne stockait ni sauvegardes de portefeuille ni mots de passe.
La liste de 347 000 adresses peut alimenter des tentatives d’hameçonnage répétées
Cointelegraph a rapporté que la base de données de la newsletter de Trezor contenait environ 347 000 adresses visées par la campagne, et que Trezor les considérait comme potentiellement connues de l’attaquant et réutilisables pour de futures campagnes d’hameçonnage.
Bien que Trezor ait affirmé que la liste ne contenait ni mots de passe ni sauvegardes de portefeuille, l’exposition peut dépasser le site web frauduleux initial en tant que canal pour des usurpations d’identité ultérieures. Brevo a indiqué avoir bloqué la route SAML utilisée lors de la compromission initiale.
Avertissement : cet article est fourni uniquement à des fins d’information. Il n’est pas proposé, ni destiné à être utilisé, comme conseil juridique, fiscal, en investissement, financier ou autre.