2.500 de oameni au dat clic în douăzeci de minute, iar acum știm cum a intrat atacatorul

Ieri am scris despre phishingul plecat chiar din sistemul de e-mail al Brevo către clienții Trezor, BitBox și CoinTracking. Ambele companii au publicat între timp cifrele, și merită să zăbovim o clipă asupra lor.

Contul Trezor de la Brevo conținea aproximativ 347.000 de adrese înscrise voluntar la newsletter. Toate cele 347.000 au primit mesajul fals "Critical Security Alert: STM32 Entropy Vulnerability". Aproximativ 2.500 de persoane au dat clic pe link înainte ca Trezor să doboare domeniul la nivel de DNS, la douăzeci de minute după ce mesajele au pornit. Clicul în sine nu era dezastrul, pentru că pagina cerea apoi să descărcați o aplicație și să tastați în ea copia de siguranță a portofelului, iar acolo se duc banii cu adevărat, dar 2.500 de clicuri în douăzeci de minute sunt o măsură bună a ce face un e-mail de phishing bine construit când sosește de la o adresă care trece orice verificare de autenticitate existentă.

Brevo a explicat de atunci calea de intrare, și este suficient de banală cât să neliniștească. Atacatorul și-a creat propriul cont Brevo, a activat autentificarea unică și a invitat în el utilizatori Brevo reali. Când acele invitații au fost acceptate, o limită de autorizare a cedat, iar atacatorul a putut ajunge la fiecare organizație la care persoanele invitate aveau acces. Numărătoarea a urcat de la cele 120 de conturi anunțate în ziua respectivă la 138 în total: șase au fost folosite pentru trimiterea de phishing, din alte 43 au fost exportate liste de contacte, iar 93 nu au arătat nimic semnificativ. Accesul a fost închis complet la ora 11:30 CEST pe 10 septembrie.

Trezor consideră acum toate cele 347.000 de adrese drept cunoscute atacatorului și probabil refolosibile, ceea ce este presupunerea rezonabilă pentru oricine s-a aflat pe acea listă. Așteptați-vă ca următoarea încercare să fie mai bine țintită. Dacă ați dat clic și ați descărcat ceva, lucrul de verificat este ce anume este instalat acum: verificarea de securitate din Tendvane pentru programe nedorite listează programele și extensiile de browser aflate pe calculatorul dumneavoastră, inclusiv pe cele care au sosit fără să se prezinte.