Trezor попередив користувачів про фішингову атаку через злам провайдера

Виробник апаратних криптогаманців Tre­zor повідомив, що хакери зламали стороннього поштового провайдера компанії та використали його для розсилки фішингових листів. Листи маскувалися під офіційні попередження безпеки від самого Tre­zor.

Фальшиве повідомлення з темою «Crit­i­cal Secu­ri­ty Alert: STM32 Entropy Vul­ner­a­bil­i­ty» стверджувало, що інженери компанії виявили критичну вразливість на рівні мікроконтролерів STM32, які використовуються в пристроях. За змістом листа, дефект нібито торкається кожного четвертого пристрою і може послаблювати рівень випадковості при генерації фраз відновлення — тобто робити їх передбачуванішими для зловмисників.

«Будь ласка, знайте: лист із темою «Crit­i­cal Secu­ri­ty Alert: STM32 Entropy Vul­ner­a­bil­i­ty» не надходить від нас — це спроба фішингу. Не переходьте за жодними посиланнями», — написав Tre­zor у своєму акаунті в X.

Компанія заблокувала домен, що використовувався в атаці, і розпочала розслідування того, як зловмисникам вдалося отримати доступ до інфраструктури, пов’язаної з легітимним доменом Tre­zor. Офіційне попередження з’явилося лише після 16:30 за східним часом — вже через кілька годин після того, як низка користувачів повідомила про отримання підозрілих листів із адреси, схожої на справжню.

Співвласник і CEO компанії Casa Нік Нойман припустив, що атака виходить за межі одного бренду. За його словами, схожі листи отримали й користувачі Bit­Box. «Схоже, що був скомпрометований маркетинговий поштовий провайдер. Будьте насторожені й не довіряйте листам від постачальників, які закликають переходити за підозрілими посиланнями», — написав він.

Дослідник у сфері безпеки Bit­coin та директор із безпеки Casa Джеймсон Лопп також звернув увагу на можливий масштаб інциденту. «Зловмисники могли скомпрометувати поштових провайдерів, якими користуються Tre­zor і Bit­Box. Розсилаються шкідливі листи про нібито вразливі генератори випадкових чисел, що потребують оновлення безпеки, — при цьому листи не виглядають підробленими. Жодного реального попередження безпеки не виходило», — написав він.

Це вже не перший витік даних, пов’язаний із Tre­zor протягом останнього часу. Раніше компанія повідомляла про злом постачальника логістичних послуг Ship­Monk, через який стали публічно доступними персональні дані 80 689 клієнтів — імена, адреси електронної пошти, номери телефонів і поштові адреси. Тоді Tre­zor також попереджав, що витоки такого роду можуть бути використані для більш витончених фішингових кампаній.