Un atacante vulneró una plataforma de marketing por correo electrónico y lanzó ataques dirigidos contra los suscriptores de los boletines informativos de algunos de sus clientes, especialmente aquellos que trabajan en el sector de las criptomonedas y campos afines.
El incidente fue una campaña de phishing en la cadena de suministro llevada a cabo a través de Brevo, un proveedor de marketing por correo electrónico utilizado por varias empresas de criptomonedas y otras compañías.
Brevo declaró inicialmente que un atacante había obtenido acceso a 120 cuentas de clientes, algunas de las cuales se utilizaron para enviar correos electrónicos de phishing a las listas de contactos de los clientes.
Posteriormente, Brevo declaró en su análisis posterior que se había accedido a 138 cuentas de clientes:
El 10 de septiembre a las 6:30 a. m. UTC, detectamos un problema de seguridad en el que un atacante explotó una vulnerabilidad en la forma en que Brevo gestiona el inicio de sesión único SAML para obtener acceso a 138 cuentas de Brevo. Se utilizaron 6 de esas cuentas para enviar correos electrónicos de phishing a los contactos almacenados, y en 43 cuentas se exportaron los contactos. Las 93 cuentas restantes no presentan actividad relevante.
Según informes , las populares empresas de criptomonedas Trezor, CoinTracking y BitBox confirmaron que se enviaron correos electrónicos de phishing a clientes suscritos a sus boletines informativos. Trezor advirtió a sus aproximadamente 347.000 suscriptores que un incidente de seguridad en un proveedor externo había provocado una campaña masiva de phishing.
Trezor fabrica monederos de hardware que almacenan claves privadas de criptomonedas sin conexión a internet. Sus clientes recibieron un correo electrónico de phishing titulado " Alerta de seguridad crítica: se ha identificado un fallo de entropía en STM32 ".
El subtítulo decía: "Actualización urgente sobre la vulnerabilidad del microcontrolador de hardware".
El correo electrónico decía:
"Estimado cliente,
Tenemos malas noticias que compartir. Lamentablemente, nuestro equipo de ingeniería ha identificado una vulnerabilidad crítica a nivel de hardware en los microcontroladores STM32 utilizados en una gama de dispositivos Trezor.
Actualmente, creemos que la mayoría de los dispositivos defectuosos se inicializaron antes de 2023; sin embargo, algunos dispositivos más recientes también podrían ser vulnerables. El fallo es un defecto de fábrica del hardware presente en aproximadamente 1 de cada 4 dispositivos.
La vulnerabilidad da como resultado:
- Generación de frases de recuperación con aleatoriedad insuficiente
- Exposición de las semillas a la rotura por fuerza bruta.
- Semillas con tan solo 40 bits de entropía.
Ese correo electrónico de phishing también contenía un enlace que incitaba a los destinatarios a descargar una aplicación e introducir la copia de seguridad de su billetera.
CoinTracking informó que los atacantes enviaron a sus clientes un correo electrónico titulado " Aviso de violación de datos: actualice las claves API lo antes posible ", que también contenía un enlace malicioso.
Debido a que los correos electrónicos provenían de dominios de empresas legítimas y parecían convincentes, es posible que algunos destinatarios hayan caído en la trampa. Se desconoce el número exacto.
Cómo mantenerse seguro
Puede resultar difícil reconocer un correo electrónico de phishing cuando proviene del dominio legítimo de una empresa y parece convincente. Pero hay algunas cosas que conviene tener en cuenta:
- Si una empresa te envía un correo electrónico informándote de un problema de seguridad urgente, consulta su sitio web o aplicación oficial para confirmarlo.
- No instales aplicaciones a través de enlaces en correos electrónicos no solicitados, por muy urgente que parezca el mensaje.
- Nunca introduzca su frase de recuperación en ningún otro lugar que no sea su dispositivo físico.
- Las empresas de buena reputación no solicitarán frases de recuperación, claves API ni datos de inicio de sesión por correo electrónico.
- Utilice Malwarebytes Scam Guard para comprobar si un mensaje podría ser una estafa y obtener orientación sobre qué hacer a continuación.
- Manténgase atento a más información sobre otros clientes de Brevo que se hayan visto afectados. Los atacantes exportaron los contactos de 43 cuentas, que podrían utilizarse en futuros ataques de phishing dirigidos.
Qué hacer si seguiste el enlace
Trezor recomienda transferir tus fondos a una nueva billetera si realizaste una copia de seguridad de la misma. Si accediste a un enlace en un correo electrónico similar de otro proveedor, contacta directamente con esa empresa para obtener asesoramiento.
¿Te parece que algo no va bien? Compruébalo antes de hacer clic.
Malwarebytes Guardte ayuda a analizar al instante enlaces, mensajes de texto y capturas de pantalla sospechosos.
Disponible conMalwarebytes Premium para todos tus dispositivos, y en laMalwarebytes para iOS Android.
