Brevo 로그인 취약점으로 Trezor 구독자 34만 7천 명이 피싱 이메일 수신, BitBox와 CoinTracking 계정도 영향 받아

Odaily 보도: 이메일 플랫폼 Brevo의 로그인 시스템 취약점으로 공격자가 138개 고객 계정에 접근하여 약 34만 7천 명의 Trezor 뉴스레터 구독자에게 피싱 이메일을 발송했습니다. BitBox와 암호화폐 포트폴리오 및 세금 보고 플랫폼 CoinTracking의 계정도 유사한 사기 이메일 발송에 악용되었습니다.

Trezor에 따르면, 피싱 이메일의 제목은 "Critical Security Alert: STM32 Entropy Vulnerability"였으며, 링크는 사용자에게 지갑 백업을 제출하도록 요구하는 앱으로 연결되었습니다. Trezor는 20분 이내에 DNS를 통해 해당 도메인을 비활성화했지만, 약 2,500명이 해당 링크에 접속했으며, 34만 7천 명의 모든 구독자에게 위험을 안내했습니다.

Brevo는 공격자가 싱글 사인온 구성 권한 경계 실패를 이용하여 초대된 모든 사용자가 접근할 수 있는 조직에 접근했다고 밝혔습니다. 이 중 6개 계정이 피싱 이메일 발송에 사용되었고, 43개 계정의 연락처 데이터가 유출되었습니다. BitBox와 CoinTracking은 현재 회사 자격 증명, 자금 또는 복구 문구 유출은 발견되지 않았지만, 관련 이메일 주소는 이미 접근되었을 가능성이 있는 것으로 간주한다고 밝혔습니다. (Cointelegraph)