Brevo hat den Ablauf des Angriffs vergleichsweise detailliert beschrieben. “Der Angreifer legte ein Brevo-Konto an und aktivierte darin Single Sign-on, anschließend lud er legitime Brevo-Nutzer in diese SSO-Konfiguration ein. Über seinen eigenen Identitätsanbieter konnte er sich als diese eingeladenen Nutzer anmelden, was für sich genommen erwartbares SSO-Verhalten ist”, erklärte das Unternehmen.
Das Problem lag in der fehlenden Begrenzung dieses Zugriffs: “Der Zugriff war nicht korrekt eingegrenzt: Statt auf die eine Organisation beschränkt zu bleiben, in der SSO aktiviert wurde, erhielt der Angreifer fälschlicherweise Zugang zu allen Organisationen, die diese Nutzer erreichen konnten.” Betroffen waren nach Brevo-Angaben 138 Konten. Aus 43 davon exfiltrierte der Täter Kontaktlisten, sechs Konten nutzte er für den Versand von Phishing-Nachrichten.
Eines dieser sechs Konten gehörte offenbar zu Trezor. Der Anbieter von Cold-Storage-Lösungen für Kryptowährungen informierte seine Kunden am Donnerstag darüber, dass der Angreifer Phishing-Mails an 347.000 im Brevo-Konto gespeicherte Adressen verschickt hat.
Die Nachrichten waren als dringende Sicherheitswarnung getarnt und verwiesen unter dem Betreff “Kritischer Sicherheitshinweis: STM32-Entropie-Schwachstelle” auf eine bösartige Website. Details zu dieser Seite hat Trezor nicht veröffentlicht, jedoch ausdrücklich davor gewarnt, dort das Wallet-Backup einzugeben — in diesem Fall drohe der Verlust der Guthaben. Rund 2.500 Nutzer klickten dem Unternehmen zufolge auf den Link, bevor die Seite 20 Minuten nach Entdeckung des Vorfalls vom Netz genommen wurde. Angaben zu tatsächlichen Verlusten liegen nicht vor.
Auch der Schweizer Hardware-Wallet-Hersteller BitBox und der Krypto-Steuerrechner CoinTracking scheinen von dem Brevo-Vorfall betroffen zu sein. Beide haben allerdings weder Einzelheiten zu den Auswirkungen genannt noch Brevo als Ursache benannt.
Für Trezor ist es der zweite Vorfall bei einem Dienstleister innerhalb kurzer Zeit. Weniger als einen Monat zuvor hatte das Unternehmen eingeräumt, dass bei seinem Versanddienstleister ShipMonk die persönlichen Daten von knapp 14.000 Personen kompromittiert wurden. Einer Aktualisierung vom 4. September zufolge sind von diesem Leck zusätzlich 67.000 US-Kunden betroffen — mit Name, E-Mail-Adresse, Lieferanschrift, Telefonnummer und Bestellnummer.
Beide Vorfälle könnten laut SecurityWeek zu einer Zunahme von Phishing-Angriffen gegen Trezor-Kunden führen, da den Angreifern nun umfangreiche Kontaktdaten aus dem Kundenstamm eines Hardware-Wallet-Anbieters vorliegen.