2.500 Menschen klickten in zwanzig Minuten, und jetzt wissen wir, wie der Angreifer hineinkam

Gestern ging es hier um das Phishing, das über Brevos eigenes Mailsystem hinausging, an Kunden von Trezor, BitBox und CoinTracking. Beide Unternehmen haben inzwischen Zahlen veröffentlicht, bei denen es sich zu verweilen lohnt.

Trezors Brevo-Konto enthielt rund 347.000 freiwillig eingetragene Newsletter-Adressen. Alle 347.000 erhielten die gefälschte Nachricht "Critical Security Alert: STM32 Entropy Vulnerability". Etwa 2.500 Menschen klickten den Link an, bevor Trezor die Domain auf DNS-Ebene abschaltete, zwanzig Minuten nachdem die Mails losgelaufen waren. Der Klick allein war noch nicht die Katastrophe, denn die Seite bat anschließend darum, eine App herunterzuladen und dort die Wallet-Sicherung einzutippen, und genau dort ist das Geld tatsächlich weg. Aber 2.500 Klicks in zwanzig Minuten sind ein brauchbares Maß dafür, was eine gut gemachte Phishing-Mail anrichtet, wenn sie von einer Adresse kommt, die jede existierende Echtheitsprüfung besteht.

Brevo hat inzwischen den Einstiegsweg erklärt, und er ist banal genug, um zu beunruhigen. Der Angreifer legte ein eigenes Brevo-Konto an, schaltete Single Sign-on ein und lud echte Brevo-Nutzer dorthin ein. Als diese Einladungen angenommen wurden, gab eine Autorisierungsgrenze nach, und der Angreifer konnte jede Organisation erreichen, zu der die eingeladenen Personen Zugang hatten. Die Zahl ist von den am Tag selbst gemeldeten 120 Konten auf insgesamt 138 gestiegen: sechs dienten zum Versand von Phishing, aus 43 weiteren wurden Kontaktlisten exportiert, und 93 zeigten nichts Nennenswertes. Der Zugang war am 10. September um 11:30 Uhr MESZ vollständig geschlossen.

Trezor behandelt nun alle 347.000 Adressen als dem Angreifer bekannt und als wahrscheinlich wiederverwendbar, was für jeden auf dieser Liste die vernünftige Annahme ist. Rechnen Sie damit, dass der nächste Versuch gezielter ausfällt. Falls Sie geklickt und etwas heruntergeladen haben, gehört geprüft, was jetzt installiert ist: Der Sicherheitscheck von Tendvane für unerwünschte Software listet die Programme und Browser-Erweiterungen auf Ihrem PC auf, auch jene, die ohne ordentliche Vorstellung angekommen sind.