Brevoのログイン脆弱性によりTrezorの34.7万人の購読者がフィッシングメールを受信、BitBoxとCoinTrackingのアカウントも影響を受ける

Odaily報道によると、メールプラットフォームBrevoのログインシステムの脆弱性により、攻撃者が138の顧客アカウントにアクセスし、約34.7万人のTrezorニュースレター購読者にフィッシングメールを送信した。BitBoxおよび暗号資産ポートフォリオ・税務報告プラットフォームCoinTrackingのアカウントも、同様の詐欺メールの送信に悪用された。

Trezorによると、フィッシングメールの件名は「Critical Security Alert: STM32 Entropy Vulnerability」で、リンクはユーザーにウォレットのバックアップ提出を求めるアプリへ誘導するものだった。Trezorは20分以内にDNSを通じて関連ドメインを無効化したが、約2,500人がリンクにアクセスしており、全34.7万人の購読者にリスクを通知した。

Brevoは、攻撃者がシングルサインオン設定の権限境界の失效を利用し、招待ユーザーがアクセス可能なすべての組織に侵入したと述べている。うち6つのアカウントがフィッシングメールの送信に使用され、43のアカウントの連絡先データがエクスポートされた。BitBoxとCoinTrackingは、現時点で同社の認証情報、資金、リカバリーフレーズの漏洩は確認されていないが、該当するメールアドレスはアクセスされた可能性があるとして扱うと述べている。（Cointelegraph）