Um invasor violou uma plataforma de marketing por e-mail e lançou ataques direcionados contra os assinantes da newsletter de alguns de seus clientes, especialmente aqueles que trabalham com criptomoedas e áreas afins.
O incidente foi uma campanha de phishing na cadeia de suprimentos realizada por meio da Brevo, uma provedora de marketing por e-mail usada por diversas empresas de criptomoedas e outras empresas.
Inicialmente, a Brevo afirmou que um invasor havia obtido acesso a 120 contas de clientes, algumas das quais foram usadas para enviar e-mails de phishing para as listas de contatos dos clientes.
Posteriormente, a Brevo afirmou, em sua análise pós-lançamento, que 138 contas de clientes haviam sido acessadas:
“Em 10 de setembro, às 6h30 UTC, identificamos uma vulnerabilidade de segurança em que um invasor explorou uma falha na forma como a Brevo lida com o SSO SAML para obter acesso a 138 contas da Brevo. Seis dessas contas foram usadas para enviar e-mails de phishing aos contatos armazenados nelas, e em 43 contas os contatos foram exportados. Noventa e três contas não apresentam nenhuma atividade significativa.”
Segundo relatos , as populares empresas de criptomoedas Trezor, CoinTracking e BitBox confirmaram o envio de e-mails de phishing para clientes inscritos em suas newsletters. A Trezor alertou seus cerca de 347.000 assinantes da newsletter sobre um incidente de segurança em um provedor terceirizado que resultou em uma campanha massiva de phishing.
A Trezor fabrica carteiras de hardware que armazenam chaves privadas de criptomoedas offline. Seus clientes receberam um e-mail de phishing intitulado " Alerta de segurança crítico: Bug de entropia do STM32 identificado ".
A legenda dizia: “Atualização urgente sobre vulnerabilidade de hardware em microcontroladores”.
O e-mail dizia:
"Querido cliente,
Temos notícias difíceis para compartilhar. Infelizmente, nossa equipe de engenharia identificou uma vulnerabilidade crítica de hardware nos microcontroladores STM32 usados em diversos dispositivos Trezor.
Atualmente, acreditamos que a maioria dos dispositivos defeituosos foi inicializada antes de 2023, embora alguns dispositivos mais recentes também possam ser vulneráveis. O bug é um defeito de fábrica do hardware presente em aproximadamente 1 em cada 4 dispositivos.
A vulnerabilidade resulta em:
- Aleatoriedade insuficiente na geração de frases de recuperação.
- Exposição das sementes à quebra por força bruta
- Sementes com apenas 40 bits de entropia”
Esse e-mail de phishing também continha um link que induzia os destinatários a baixar um aplicativo e inserir os dados de backup de sua carteira.
A CoinTracking informou que os atacantes enviaram aos seus clientes um e-mail intitulado " Aviso de violação de dados: atualize as chaves da API o mais rápido possível ", que também continha um link malicioso.
Como os e-mails provinham de domínios legítimos da empresa e pareciam convincentes, alguns destinatários podem ter caído no golpe. O número exato ainda não se sabe.
Como se manter seguro
Pode ser difícil reconhecer um e-mail de phishing quando ele vem de um domínio legítimo da empresa e parece convincente. Mas há algumas coisas a ter em mente:
- Se uma empresa lhe enviar um e-mail sobre um problema de segurança urgente, verifique o site ou aplicativo oficial para confirmação.
- Não instale aplicativos através de links em e-mails não solicitados, independentemente da urgência que a mensagem afirme ter.
- Nunca insira sua frase de recuperação em nenhum lugar que não seja no seu dispositivo físico.
- Empresas idôneas não solicitam frases de recuperação, chaves de API ou dados de login por e-mail.
- Use Malwarebytes Scam Guard para verificar se uma mensagem pode ser uma fraude e obter orientações sobre o que fazer em seguida.
- Fique atento para mais informações sobre outros clientes da Brevo que foram afetados. Os atacantes exportaram contatos de 43 contas, que podem ser usados em futuros ataques de phishing direcionados.
O que fazer se você clicou no link?
A Trezor recomenda que você transfira seus fundos para uma nova carteira caso tenha inserido os dados de backup da sua carteira de alguma forma. Se você clicou em um link em um e-mail semelhante de outro provedor, entre em contato diretamente com essa empresa para obter orientações.
Algo parece errado? Verifique antes de clicar.
Malwarebytes Guardajuda você a analisar instantaneamente links, mensagens de texto e capturas de tela suspeitas.
Disponível comMalwarebytes Premium para todos os seus dispositivos e noMalwarebytes para iOS Android.
