Une faille d'autorisation dans le système de connexion de Brevo a permis à un attaquant d'accéder à 138 comptes clients, entraînant l'envoi d'e-mails de phishing via des comptes utilisés par Trezor, BitBox et CoinTracking.
Résumé
- Une faille de connexion Brevo a donné à un attaquant accès à 138 comptes clients, y compris ceux utilisés par Trezor, BitBox et CoinTracking.
- Des e-mails de phishing ont été envoyés via six comptes, tandis que des listes de contacts ont été exportées depuis 43 comptes.
- Un e-mail frauduleux de Trezor a atteint environ 347 000 abonnés et a dirigé environ 2 500 personnes vers un lien malveillant.
- Trezor considère les 347 000 adresses de newsletter comme potentiellement connues de l'attaquant et réutilisables pour du phishing.
Brevo a déclaré dans un post-mortem jeudi que l'attaquant a exploité une faiblesse impliquant son système d'authentification unique, obtenant ainsi l'accès aux organisations liées à des utilisateurs légitimes qui avaient été invités dans un compte Brevo contrôlé par l'attaquant.
La faille Brevo a donné à l'attaquant accès aux organisations clientes
Brevo a retracé l'incident jusqu'à la façon dont sa plateforme gérait les autorisations lorsque des utilisateurs appartenaient à plusieurs organisations.
L'attaquant a d'abord créé un compte Brevo et activé l'authentification unique avant d'inviter des utilisateurs légitimes de Brevo dans l'organisation nouvellement créée. L'accès aurait dû rester limité à l'organisation contrôlée par l'attaquant.
Au lieu de cela, Brevo a déclaré qu'une limite d'autorisation a échoué, permettant à l'attaquant d'atteindre chaque organisation à laquelle les utilisateurs invités eux-mêmes avaient la permission d'accéder.
Les comptes compromis comprenaient ceux utilisés par les fabricants de portefeuilles matériels Trezor et BitBox et le service de suivi de portefeuille crypto et de déclaration fiscale CoinTracking. L'accès à l'infrastructure de messagerie légitime a permis de distribuer des messages frauduleux d'une manière qui les faisait ressembler à des communications d'entreprise normales.
La divulgation fournit l'explication technique derrière les e-mails de phishing ciblant Trezor et les clients de BitBox cette semaine. Crypto.news a précédemment rapporté que les deux entreprises de portefeuilles matériels ont averti les utilisateurs mercredi après avoir identifié des messages de sécurité frauduleux distribués via un fournisseur de newsletter tiers.
Parce que les messages ont été envoyés via une infrastructure de messagerie légitime, ils ont pu passer les contrôles d'authentification d'e-mail normaux et atteindre les abonnés à partir d'adresses associées aux entreprises concernées.
L'e-mail de phishing de Trezor utilisait l'objet « Alerte de sécurité critique : Vulnérabilité d'entropie STM32 » et présentait un prétendu problème de sécurité matérielle nécessitant une action de la part des utilisateurs.
Le message dirigeait les destinataires vers une application malveillante qui demandait leurs sauvegardes de portefeuille. Quiconque obtient une phrase de récupération de portefeuille peut recréer le portefeuille correspondant et prendre le contrôle de ses fonds.
L'e-mail de phishing de Trezor a atteint 347 000 abonnés
Trezor a déclaré que son compte Brevo contenait environ 347 000 adresses e-mail de newsletter opt-in, sans autres informations clients stockées sur la plateforme.
Trezor a mis le domaine malveillant hors ligne au niveau DNS en 20 minutes. Environ 2 500 personnes avaient accédé au lien avant le retrait, selon l'entreprise.
« Jusqu'à ce que nous en sachions plus de la part de Brevo, nous considérons les quelque 347 000 adresses de newsletter comme connues de l'attaquant et potentiellement réutilisables pour du phishing », a déclaré le porte-parole.
Trezor a déclaré que l'incident Brevo n'a pas compromis ses portefeuilles matériels, ses sauvegardes de portefeuille ou d'autres systèmes internes. Les clients qui n'ont pas saisi leur sauvegarde de portefeuille dans l'application malveillante sont restés en sécurité, selon l'entreprise.
La campagne fait suite à plusieurs autres tentatives de phishing impliquant le fabricant de portefeuilles matériels. En août, un utilisateur de Trezor a déclaré avoir perdu toutes ses économies après qu'un résultat de recherche Google sponsorisé l'a dirigé vers un faux site Web hébergé via Google Sites.
Trezor a déclaré à l'époque qu'il voyait de plus en plus de sites de phishing usurpant l'identité de l'entreprise via des résultats de recherche sponsorisés et a averti les clients de ne jamais saisir de sauvegardes de portefeuille sur des sites Web.
Plus tôt en 2026, les escrocs ont sorti les tentatives d'usurpation d'identité du monde en ligne en envoyant de fausses lettres Trezor et Ledger aux propriétaires de portefeuilles matériels. Les lettres contenaient des codes QR menant à des sites de phishing qui demandaient des phrases de récupération de 12, 20 ou 24 mots sous prétexte de compléter une authentification ou des vérifications de transaction.
Les comptes BitBox et CoinTracking utilisés dans une vague de phishing
BitBox a identifié une campagne similaire mercredi et a averti les utilisateurs de ne pas suivre les instructions contenues dans les e-mails frauduleux envoyés sous son nom.
L'attaque est survenue quelques semaines après que BitBox a corrigé deux vulnérabilités de portefeuille impliquant l'installation de micrologiciels et la gestion des adresses Bitcoin. BitBox a déclaré qu'aucune exploitation connue de l'une ou l'autre faille n'avait eu lieu et n'a signalé aucun fonds d'utilisateur volé.
Les clients de CoinTracking ont reçu un leurre de phishing différent conçu autour des fonctions de suivi de portefeuille et de déclaration fiscale du service.
L'e-mail frauduleux portait la ligne d'objet « Data Breach Notice: Please refresh API Keys as soon as possible », selon CoinTracking. L'entreprise a averti les clients de ne pas suivre les liens contenus dans le message pendant qu'elle enquêtait sur la compromission de son compte Brevo.
Trezor traite déjà sa liste complète de newsletters comme potentiellement connue de l'attaquant, bien que l'entreprise ait déclaré ne pas avoir reçu de confirmation que les 347 000 adresses avaient été exportées.
Le fabricant de portefeuilles matériels a fait face cette année à une autre exposition de données clients impliquant le fournisseur logistique ShipMonk. Trezor a initialement divulgué en août que les informations appartenant à 13 689 clients avaient été exposées via le fournisseur d'expédition.
L'ampleur a ensuite augmenté après que Trezor a appris que les dossiers appartenant à environ 67 000 clients américains supplémentaires étaient restés dans les systèmes de ShipMonk. Les dossiers plus anciens couvraient les achats effectués entre novembre 2019 et août 2021 et comprenaient des noms, des adresses e-mail, des numéros de téléphone, des adresses de livraison et des numéros de commande.
Trezor a déclaré que ses propres systèmes n'avaient pas été compromis dans l'incident ShipMonk et qu'aucune clé privée ni phrase de récupération n'avait été exposée. L'entreprise avait précédemment reçu des assurances que les dossiers clients plus anciens avaient été supprimés avant d'apprendre le 2 septembre qu'ils restaient stockés par le fournisseur.
