攻撃者がメールマーケティングプラットフォームに侵入し、一部顧客企業のニュースレター購読者、特に暗号資産関連分野で働く人々を標的とした攻撃を仕掛けました。
この事件は、複数の暗号資産企業をはじめとする企業が利用するメールマーケティングプロバイダーBrevoを通じて実行された、サプライチェーン型フィッシングキャンペーンでした。
Brevoは当初、攻撃者が120件の顧客アカウントにアクセスし、その一部を使って顧客の連絡先リストにフィッシングメールを送信したと発表していました。
その後Brevoは、事後報告の中でアクセスを受けた顧客アカウントは138件だったと明らかにしています。
「9月10日午前6時30分（UTC）、攻撃者がBrevoのSAML SSOの処理方法における欠陥を悪用し、138件のBrevoアカウントにアクセスするというセキュリティ問題を確認しました。このうち6件のアカウントは、保存されていた連絡先にフィッシングメールを送信するために使用され、43件のアカウントでは連絡先がエクスポートされていました。93件のアカウントには目立った不正活動は見られませんでした」
複数の報道によると、人気の暗号資産企業であるTrezor、CoinTracking、BitBoxが、自社のニュースレターを購読していた顧客にフィッシングメールが送信されたことを確認しました。Trezorは警告を発し、サードパーティプロバイダーで発生したセキュリティインシデントにより、約347,000人のニュースレター購読者を対象とした大規模なフィッシングキャンペーンが発生したと伝えました。
Trezorは暗号資産の秘密鍵をオフラインで保管するハードウェアウォレットを製造している企業です。同社の顧客は「重大なセキュリティ警告: STM32エントロピーバグが確認されました」と題されたフィッシングメールを受け取りました。
サブタイトルには「ハードウェアマイクロコントローラーの脆弱性に関する緊急アップデート」と書かれていました。
メールの内容は以下の通りです。
「お客様各位
残念なお知らせがあります。当社のエンジニアリングチームは、Trezorの複数のデバイスで使用されているSTM32マイクロコントローラーに、重大なハードウェアレベルの脆弱性が存在することを確認しました。
現時点で、欠陥のあるデバイスの大半は2023年以前に初期化されたものと考えられますが、一部のより新しいデバイスも影響を受けている可能性があります。このバグはハードウェアの製造上の欠陥であり、推定でデバイスの4台に1台の割合で発生しています。
この脆弱性により、以下の問題が生じます。
- リカバリーフレーズ生成時のランダム性不足
- 総当たり攻撃によるシード解読のリスク
- わずか40ビットのエントロピーしか持たないシード」
このフィッシングメールには、受信者にアプリのダウンロードとウォレットのバックアップ入力を促すリンクも含まれていました。
CoinTrackingによると、攻撃者は同社の顧客に「データ侵害通知: 至急APIキーを更新してください」と題したメールを送信しており、これにも悪意のあるリンクが含まれていました。
これらのメールは正規の企業ドメインから送信され、見た目も本物らしかったため、一部の受信者が騙されてしまった可能性があります。正確な被害件数は現時点で判明していません。
安全を保つには
フィッシングメールが正規の企業ドメインから送られ、しかも本物らしく見える場合、それを見抜くのは容易ではありません。しかし、いくつか心に留めておくべき点があります。
- 企業から緊急のセキュリティ問題についてメールが届いた場合は、公式ウェブサイトやアプリで内容を確認する
- 依頼のないメール内のリンクからアプリをインストールしない。メッセージがどれほど緊急性を訴えていても同様
- リカバリーフレーズは物理デバイス以外の場所には絶対に入力しない
- 信頼できる企業が、リカバリーフレーズやAPIキー、ログイン情報をメールで求めることはない
- Malwarebytes Scam Guardを使って、そのメッセージが詐欺かどうかを確認し、対処法についてのガイダンスを得る
- 被害を受けた他のBrevo顧客に関する続報にも注意を払う。攻撃者は43件のアカウントから連絡先をエクスポートしており、これが今後の標的型フィッシング攻撃に悪用される可能性がある
リンクをクリックしてしまった場合の対処法
Trezorは、ウォレットのバックアップをいずれかの形式で入力してしまった場合、資金を新しいウォレットに移すよう推奨しています。他のプロバイダーから届いた同様のメール内のリンクをクリックしてしまった場合は、その企業に直接連絡してアドバイスを求めてください。
