3007
Виробник апаратних криптогаманців Trezor попередив клієнтів про нову масштабну фішингову кампанію, яка стала можливою після злому сторонньої компанії. За даними Trezor, атакувальники скористалися доступом до сервісу Brevo, через який компанія надсилала маркетингові листи, і розіслали приблизно 347 тисяч повідомлень із шкідливим посиланням.
Листи маскувалися під офіційні повідомлення Trezor. В одному з варіантів тема повідомлення попереджала про нібито критичну вразливість STM32. Користувачеві пропонували перейти за посиланням і завантажити програму, яка після запуску просила ввести пароль резервної копії криптогаманця.
Саме цей етап робить атаку особливо небезпечною. Якщо власник гаманця передає шахраям дані, необхідні для відновлення доступу, зловмисники можуть отримати контроль над коштами та переказати їх на іншу адресу. Для операцій у публічному блокчейні такий переказ є незворотним.
Brevo повідомила, що зловмисники отримали доступ до 138 облікових записів клієнтів сервісу. За поясненням компанії, права доступу були налаштовані неправильно: атакувальники отримали можливості, які не мали поширюватися на всі організації, до яких могли дістатися скомпрометовані акаунти. Саме через ці облікові записи й було здійснено масове розсилання.
Trezor окремо наголосила, що її апаратні гаманці, продукти та система облікових записів під час цього інциденту не були зламані. Проблема виникла у стороннього постачальника, необхідного для комунікації з клієнтами. Такий сценарій показує, що навіть якщо основний продукт не скомпрометований, витік у партнера може дати шахраям достатньо інформації для дуже переконливої атаки.
Це вже другий інцидент із партнером Trezor за кілька тижнів. У серпні компанія повідомляла про компрометацію логістичного партнера ShipMonk. Тоді стали доступними імена, телефонні номери, електронні та поштові адреси щонайменше 81 тисячі людей, які купували та отримували апаратні гаманці.
Після того витоку деякі користувачі почали отримувати вже не електронні, а звичайні паперові листи, які нібито надсилала Trezor. Усередині був QR-код, що вів на фальшиву сторінку для викрадення даних від гаманця. Trezor заявила, що переглядає роботу зі сторонніми постачальниками, і попередила клієнтів, що скомпрометовані адреси електронної пошти можуть повторно використовуватися в наступних фішингових кампаніях.
