Un hacker ha violato una piattaforma di email marketing e ha lanciato attacchi mirati contro gli iscritti alla newsletter di alcuni clienti, in particolare quelli che operano nel settore delle criptovalute e in ambiti affini.
L'incidente consisteva in una campagna di phishing nella catena di approvvigionamento, condotta tramite Brevo, un fornitore di servizi di email marketing utilizzato da diverse società di criptovalute e altre aziende.
Inizialmente Brevo aveva affermato che un hacker aveva ottenuto l'accesso a 120 account clienti, alcuni dei quali erano stati utilizzati per inviare email di phishing ai contatti presenti nelle liste dei clienti.
Brevo ha poi dichiarato che, durante l'analisi post-mortem, erano stati violati 138 account di clienti:
"Il 10 settembre alle 6:30 UTC abbiamo identificato una vulnerabilità di sicurezza in cui un utente malintenzionato ha sfruttato una falla nel modo in cui Brevo gestisce l'autenticazione a due fattori SAML per ottenere l'accesso a 138 account Brevo. Sei di questi account sono stati utilizzati per inviare email di phishing ai contatti ivi memorizzati, mentre per 43 account sono stati esportati i contatti. I restanti 93 account non presentano attività significative."
Secondo quanto riportato , le note società di criptovalute Trezor, CoinTracking e BitBox hanno confermato di aver ricevuto email di phishing da clienti iscritti alle loro newsletter. Trezor ha avvertito i suoi circa 347.000 iscritti alla newsletter che un incidente di sicurezza presso un fornitore terzo aveva scatenato una massiccia campagna di phishing.
Trezor produce portafogli hardware che memorizzano le chiavi private delle criptovalute offline. I suoi clienti hanno ricevuto un'e-mail di phishing intitolata " Avviso di sicurezza critico: identificato un bug di entropia in STM32 ".
Il sottotitolo recitava: "Aggiornamento urgente riguardante la vulnerabilità del microcontrollore hardware".
L'e-mail diceva:
"Gentile Cliente,
Abbiamo una notizia spiacevole da comunicarvi. Purtroppo, il nostro team di ingegneri ha identificato una vulnerabilità critica a livello hardware nei microcontrollori STM32 utilizzati in una serie di dispositivi Trezor.
Al momento riteniamo che la maggior parte dei dispositivi difettosi sia stata inizializzata prima del 2023, tuttavia anche alcuni dispositivi più recenti potrebbero essere vulnerabili. Il bug è un difetto di fabbricazione dell'hardware presente in circa un dispositivo su quattro.
La vulnerabilità comporta:
- Insufficiente casualità nella generazione della frase di recupero
- Esposizione dei semi a una rottura con forza bruta
- Semi con appena 40 bit di entropia”
Quell'e-mail di phishing conteneva anche un link che invitava i destinatari a download un'app e inserire il backup del loro portafoglio.
CoinTracking ha dichiarato che gli aggressori hanno inviato ai suoi clienti un'e-mail intitolata " Avviso di violazione dei dati: si prega di aggiornare le chiavi API il prima possibile ", che conteneva anche un link dannoso.
Poiché le email provenivano da domini aziendali legittimi e sembravano convincenti, alcuni destinatari potrebbero esserne cascati. Il numero esatto non è attualmente noto.
Come stare al sicuro
Può essere difficile riconoscere un'email di phishing quando proviene da un dominio aziendale legittimo e sembra convincente. Tuttavia, ci sono alcuni aspetti da tenere a mente:
- Se un'azienda ti invia un'e-mail relativa a un problema di sicurezza urgente, controlla il suo sito web o la sua app ufficiale per conferma.
- Non installare app tramite link presenti in email non richieste, a prescindere da quanto urgente possa sembrare il messaggio.
- Non inserire mai la tua frase di recupero in nessun altro luogo se non sul tuo dispositivo fisico.
- Le aziende affidabili non richiederanno mai frasi di recupero, chiavi API o dati di accesso tramite e-mail.
- Utilizza Malwarebytes Scam Guard per verificare se un messaggio potrebbe essere una truffa e ricevere indicazioni su come procedere.
- Restate sintonizzati per ulteriori informazioni su altri clienti Brevo che sono stati colpiti. Gli aggressori hanno esportato i contatti da 43 account, che potrebbero essere utilizzati in futuri attacchi di phishing mirati.
Cosa fare se hai seguito il link
Trezor consiglia di trasferire i fondi in un nuovo portafoglio se hai inserito il backup del tuo portafoglio in qualsiasi forma. Se hai cliccato su un link in un'email simile proveniente da un altro fornitore, contatta direttamente tale azienda per ricevere assistenza.
C'è qualcosa che non va? Controlla prima di cliccare.
Malwarebytes Guardti aiuta ad analizzare immediatamente link, messaggi e screenshot sospetti.
Disponibile conMalwarebytes Premium per tutti i tuoi dispositivi eMalwarebytes per iOS Android.
