Trezorのユーザー34万7,000人、Brevoハッキング後にフィッシングメールを受信

コールドウォレット型の暗号資産保管サービスを提供するTrezorによると、同社が利用するサードパーティ製マーケティングプラットフォームがハッキングされたことを受け、約34万7,000人の顧客にフィッシングメールが送られたということです。

今回の事件は、Trezorがニュースレター配信に利用しているマーケティングプラットフォーム「Brevo」に関わるものです。Brevoによると、攻撃者はSAMLシングルサインオン(SSO)の処理方法を悪用し、138件のアカウントに侵入しました。

「攻撃者はBrevoアカウントを作成してシングルサインオン(SSO)を有効化し、正規のBrevoユーザーをそのSSO設定に招待しました。攻撃者は自らのIDプロバイダーを使うことで、招待したユーザーとしてサインインできるようになりましたが、これ自体はSSOの想定された挙動です」とBrevoは説明しています。

「このアクセスは適切な範囲に限定されていませんでした。本来はSSOが有効化された単一の組織のみに限定されるべきでしたが、実際には攻撃者に対し、招待されたユーザーがアクセス可能な全組織へのアクセス権限が誤って付与されていました」と同社は付け加えています。

同社によると、攻撃者は侵害された6件のアカウントに保存されていたメールアドレス宛てにフィッシングメッセージを送信しました。さらに、脅威アクターは43件のアカウントから連絡先情報を窃取しています。

メールリストがフィッシングキャンペーンに悪用された顧客の1社がTrezorとみられ、同社は木曜日、Brevoアカウントに保存されていた34万7,000件のメールアドレス宛てに攻撃者がフィッシングメッセージを送信したと顧客に通知しました。

フィッシングメールの件名は「重大なセキュリティ警告:STM32エントロピーの脆弱性」というもので、悪意あるWebサイトへのリンクが含まれていました。 

Trezorは当該の悪意あるサイトについて詳細を公表していませんが、リンクをクリックしてウォレットのバックアップ情報を入力した場合、資金を失う可能性があると顧客に警告しています。

Trezorによると、悪意あるWebサイトは事件検知から20分後にオフライン化されており、それまでにリンクをクリックしたユーザーは2,500人にとどまったということです。実際にどれだけのユーザーが資金を失い、その被害額がどの程度になるのかは明らかになっていません。

スイスのビットコインハードウェアウォレットメーカーであるBitBoxと、暗号資産の税金計算サービスを手掛けるCoinTrackingも、今回のBrevoハッキングの影響を受けた模様ですが、両社とも被害の詳細は明らかにしておらず、Brevoを事件の発生源として名指ししてもいません。

今回の事件は、サードパーティの配送業者であるShipMonkでのデータ漏えいにより、約1万4,000人分の個人情報が侵害されたとTrezorが認めてから1カ月も経たないうちに発生しました。

Trezorが9月4日に公開した最新情報によると、ShipMonkの情報漏えいの影響はさらに米国の顧客6万7,000人にも及んでおり、氏名、メールアドレス、配送先住所、電話番号、注文番号が流出したことが明らかになっています。

今回の2件の事件はいずれも、Trezorの顧客を狙ったフィッシング攻撃の急増につながる可能性があります。