Brevo login vulnerability khiến 347.000 người đăng ký Trezor nhận email lừa đảo, tài khoản BitBox và CoinTracking cũng bị ảnh hưởng

Odaily đưa tin, lỗ hổng trong hệ thống đăng nhập của nền tảng email Brevo đã cho phép kẻ tấn công truy cập 138 tài khoản khách hàng và gửi email lừa đảo đến khoảng 347.000 người đăng ký bản tin Trezor. Tài khoản của BitBox và nền tảng báo cáo thuế và danh mục đầu tư tiền mã hóa CoinTracking cũng bị sử dụng để gửi các email lừa đảo tương tự.

Trezor cho biết, tiêu đề email lừa đảo là "Critical Security Alert: STM32 Entropy Vulnerability", trong đó chứa liên kết dẫn đến ứng dụng yêu cầu người dùng gửi bản sao lưu ví. Trezor đã vô hiệu hóa tên miền liên quan thông qua DNS trong vòng 20 phút, nhưng khoảng 2.500 người đã truy cập liên kết này, và đã cảnh báo rủi ro đến toàn bộ 347.000 người đăng ký.

Brevo cho biết, kẻ tấn công đã lợi dụng lỗ hổng trong ranh giới quyền hạn cấu hình đăng nhập một lần (SSO) để truy cập tất cả các tổ chức mà người dùng được mời có thể tiếp cận. Trong đó, 6 tài khoản bị sử dụng để gửi email lừa đảo, 43 tài khoản bị xuất dữ liệu liên hệ; BitBox và CoinTracking cho biết, hiện chưa phát hiện rò rỉ thông tin xác thực, tiền hoặc cụm từ khôi phục của công ty, nhưng sẽ coi các địa chỉ email liên quan là có thể đã bị truy cập. (Cointelegraph)