2500 pessoas clicaram em vinte minutos, e já sabemos como o atacante entrou
Ontem falámos do phishing que saiu do próprio sistema de correio da Brevo para clientes da Trezor, da BitBox e da CoinTracking. Ambas as empresas publicaram entretanto os números, e vale a pena parar um momento neles.
A conta da Trezor na Brevo continha cerca de 347 000 endereços inscritos voluntariamente na newsletter. Os 347 000 receberam a mensagem falsa "Critical Security Alert: STM32 Entropy Vulnerability". Cerca de 2500 pessoas clicaram na ligação antes de a Trezor derrubar o domínio ao nível do DNS, vinte minutos depois de os emails começarem a sair. O clique em si não era o desastre, porque a página pedia a seguir para descarregar uma aplicação e escrever nela a cópia de segurança da carteira, e é aí que o dinheiro desaparece mesmo, mas 2500 cliques em vinte minutos são uma boa medida do que faz um email de phishing bem construído quando chega de um endereço que passa todas as verificações de autenticidade existentes.
A Brevo já explicou a via de entrada, e é suficientemente banal para inquietar. O atacante criou a sua própria conta Brevo, ligou o início de sessão único e convidou utilizadores legítimos da Brevo a entrar nela. Quando esses convites foram aceites, uma fronteira de autorização cedeu, e o atacante passou a conseguir alcançar todas as organizações a que essas pessoas convidadas tinham acesso. A contagem passou das 120 contas anunciadas no próprio dia para 138 no total: seis foram usadas para enviar phishing, de outras 43 foram exportadas listas de contactos, e 93 não mostraram nada de relevante. O acesso ficou totalmente fechado às 11:30 CEST de 10 de setembro.
A Trezor trata agora os 347 000 endereços como conhecidos do atacante e provavelmente reutilizáveis, que é o pressuposto sensato para quem estava naquela lista. Conte com uma próxima tentativa mais bem dirigida. Se clicou e descarregou alguma coisa, o que convém verificar é o que está agora instalado: a verificação de segurança do Tendvane para software indesejado lista os programas e extensões de navegador que estão no seu PC, incluindo os que chegaram sem se apresentar.