ผู้ใช้ Trezor 347,000 รายเจออีเมลฟิชชิง หลังบัญชี Brevo ถูกเจาะ

ลูกค้าของ Trezor ผู้ผลิตกระเป๋าฮาร์ดแวร์ราว 347,000 รายได้รับอีเมลแจ้งเตือนความปลอดภัยปลอมที่ได้รับการยืนยันแล้ว โดยผู้โจมตีใช้บัญชี Brevo ซึ่งเป็นผู้ให้บริการอีเมลที่ Trezor ใช้ในการส่งจดหมายข่าว เพื่อหลอกล่อให้กรอกวลีสำรองข้อมูลกระเป๋าเงิน

Trezor ระบุในบล็อกเมื่อวันที่ 10 ว่า เหตุการณ์ด้านความปลอดภัยของ Brevo อาจทำให้ที่อยู่อีเมลสำหรับรับจดหมายข่าวราว 347,000 รายการรั่วไหลไปยังผู้โจมตี พร้อมอธิบายว่าที่อยู่อีเมลดังกล่าวอาจถูกนำไปใช้ในการโจมตีแบบฟิชชิงซ้ำอีกในอนาคต

หัวข้ออีเมลฟิชชิงระบุว่า ‘Critical Security Alert: STM32 Entropy Vulnerability’ โดยอีเมลอ้างว่าต้องตรวจสอบช่องโหว่ด้านความปลอดภัยของกระเป๋า Trezor เพื่อหลอกล่อให้คลิกลิงก์อันตราย เมื่อคลิกลิงก์แล้วจะให้ดาวน์โหลดแอปพลิเคชันก่อนให้กรอกวลีสำรองข้อมูลกระเป๋าเงิน

Trezor ปิดกั้นโดเมนที่ใช้ส่งอีเมลดังกล่าวได้ภายใน 20 นาที แต่มีการนับจำนวนผู้ที่คลิกลิงก์ก่อนถูกปิดกั้นราว 2,500 ราย

ตัวผลิตภัณฑ์ กระเป๋าเงิน และระบบบัญชีของ Trezor เองไม่ได้ถูกแฮ็ก โดยบัญชี Brevo เก็บเฉพาะที่อยู่อีเมลของผู้ใช้ที่ยินยอมรับจดหมายข่าวเท่านั้น ไม่มีรหัสผ่านกระเป๋าเงินหรือข้อมูลสินทรัพย์รวมอยู่ด้วย

Trezor อธิบายว่า หากไม่ได้กรอกวลีสำรองข้อมูลกระเป๋าเงิน สินทรัพย์จะยังคงปลอดภัย โดยวลีสำรองข้อมูลเป็นวลีลับที่ใช้ในการกู้คืนกระเป๋าเงิน หากรั่วไหลออกไปภายนอกอาจถูกนำไปใช้เข้าถึงสินทรัพย์ในทางที่ผิดได้

Brevo ระบุว่า เหตุการณ์ครั้งนี้ทำให้มีการเข้าถึงบัญชีลูกค้า 138 บัญชี โดยในจำนวนนี้ 6 บัญชีถูกใช้ส่งอีเมลฟิชชิง และมีการดึงข้อมูลติดต่อจาก 43 บัญชี ส่วนอีก 93 บัญชีที่เหลือไม่พบกิจกรรมที่มีนัยสำคัญ

Brevo อธิบายว่า เนื่องจากข้อบกพร่องในกระบวนการตั้งค่าสิทธิ์การเข้าถึง ทำให้บัญชีของผู้โจมตีสามารถเข้าถึงบัญชีลูกค้ารายอื่นที่อยู่นอกขอบเขตองค์กรที่ควรเข้าถึงได้ เหตุการณ์ครั้งนี้แสดงให้เห็นว่าการบริหารจัดการสิทธิ์การเข้าถึงของผู้ให้บริการภายนอกที่เก็บข้อมูลลูกค้าหรือส่งจดหมายข่าว อาจนำไปสู่ความเสี่ยงด้านความปลอดภัยได้

เป้าหมายการโจมตีไม่ได้จำกัดอยู่แค่ Trezor เท่านั้น โดย BitBox ผู้ผลิตกระเป๋าฮาร์ดแวร์ และ CoinTracking บริการจัดการพอร์ตการลงทุนและภาษีคริปโท ต่างระบุว่ามีการส่งอีเมลฟิชชิงลักษณะคล้ายกันผ่าน Brevo เช่นกัน

ในเหตุการณ์ก่อนหน้านี้ที่มุ่งเป้าไปยังผู้ใช้ Trezor ผ่านการเจาะระบบผู้ให้บริการอีเมลบุคคลที่สามและหลอกล่อให้กรอกวลีกู้คืน บริษัทก็ระบุเช่นกันว่าผลิตภัณฑ์และระบบกระเป๋าเงินไม่ได้ถูกเจาะระบบ โดยครั้งนี้จุดโจมตีก็ไม่ใช่ตัวกระเป๋าเงินเอง แต่เป็นบัญชีส่งอีเมลภายนอก

อีเมลฟิชชิงใช้ช่องโหว่ของฮาร์ดแวร์และคำเตือนเร่งด่วนเพื่อให้ดูเหมือนประกาศด้านความปลอดภัยที่ถูกต้อง อย่างไรก็ตาม Trezor ยืนยันว่าจะไม่มีการขอให้กรอกวลีสำรองข้อมูลกระเป๋าเงินผ่านอีเมลหรือลิงก์ออนไลน์

เหตุการณ์ครั้งนี้เป็นปัญหาด้านความปลอดภัยครั้งที่สอง ต่อจากเหตุการณ์ข้อมูลลูกค้าของ Trezor รั่วไหลจากการที่บริษัทพันธมิตรด้านโลจิสติกส์ถูกเจาะระบบเมื่อเดือนสิงหาคมที่ผ่านมา โดยในเหตุการณ์ก่อนหน้านั้น มีรายงานว่าข้อมูลที่เกี่ยวข้องกับคำสั่งซื้อ เช่น ชื่อ ที่อยู่อีเมล หมายเลขโทรศัพท์ และที่อยู่จัดส่งรั่วไหลออกไป

หากที่อยู่อีเมลและข้อมูลติดต่อที่ผู้ให้บริการภายนอกถือครองถูกนำไปใช้ในการฟิชชิง ผู้โจมตีอาจส่งข้อความแอบอ้างที่ซับซ้อนยิ่งขึ้นไปยังผู้ใช้ได้ อย่างไรก็ตาม เหตุการณ์ครั้งนี้ไม่มีข้อมูลใดระบุว่าคีย์ส่วนตัวหรือข้อมูลสินทรัพย์ในกระเป๋า Trezor รั่วไหลออกสู่ภายนอก

Trezor ระบุว่าจะถือโอกาสนี้ทบทวนความสัมพันธ์กับผู้ให้บริการภายนอกและข้อกำหนดด้านความปลอดภัยใหม่ ผู้ใช้ไม่ควรคลิกลิงก์ในอีเมลที่น่าสงสัยหรือกรอกวลีสำรองข้อมูล และหากกรอกวลีสำรองข้อมูลไปแล้ว ควรย้ายสินทรัพย์ไปยังกระเป๋าเงินใหม่ทันที