En l’espace de trois jours, deux entreprises très différentes ont laissé filer des informations qu’elles étaient censées protéger. Le premier cas touche l’emailing utilisé par plusieurs acteurs du secteur crypto, le second la vérification d’identité chez la fintech Revolut. Dans les deux cas, la faille c’est la confiance accordée à un expéditeur qui avait toutes les apparences de la légitimité.
Début septembre, un attaquant a exploité une faille de Brevo, plateforme d’emailing utilisée entre autres par Trezor, BitBox et CoinTracking, pour accéder à 138 comptes clients ; six ont servi à envoyer des messages de phishing et des listes de contacts ont été exportées depuis 43 d’entre eux. Les messages partaient de l’infrastructure légitime de Brevo et passaient donc les contrôles d’authentification (SPF, DKIM, DMARC), ce qui les rendait indiscernables d’une vraie communication. Environ 347 000 abonnés à la newsletter de Trezor ont ainsi reçu une fausse alerte évoquant une faille des puces STM32 et invitant à saisir leur phrase de récupération dans une application frauduleuse ; près de 2 500 personnes ont cliqué avant que le domaine malveillant ne soit coupé, une vingtaine de minutes plus tard. CoinTracking a reçu un message similaire invitant à « rafraîchir » des clés API, et BitBox a signalé une activité non autorisée sur sa propre liste d’abonnés. Trezor assure que ses produits, son compte et son infrastructure propre n’ont pas été touchés : Brevo ne conservait, pour l’essentiel, que des adresses e-mail et des listes de contacts, désormais réutilisables pour de nouvelles campagnes ciblées.
Le second dossier a été révélé le 12 septembre. Revolut a averti une partie de ses clients avoir répondu à une demande d’informations qui semblait provenir d’une autorité publique : le message était envoyé depuis une boîte mail créée directement sur le domaine officiel de cette agence et portait des certificats d’authentification valides. Convaincue de sa légitimité, la fintech a transmis un ensemble de données KYC couvrant identité, adresse, documents d’identité, selfies de vérification, relevés bancaires, IBAN et historiques de transactions, y compris en bitcoin. L’incident semble avoir surtout visé des profils à fort patrimoine.
Rappelons qu’une adresse e-mail, une identité vérifiée, une adresse physique, un selfie, un IBAN ou l’historique de transactions peuvent permettre à un attaquant de construire un profil suffisamment précis pour personnaliser de futures attaques. Pour les détenteurs d’actifs numériques, le risque peut aller jusqu’à des menaces physiques : connaître l’identité, le domicile et la détention présumée de bitcoins peut faire d’une victime une cible potentielle d’extorsion, de cambriolage ou d’enlèvement.
Sources : TechCrunch, SecurityWeek, Malwarebytes, Cryptonomist, CryptoTimes, Lookonchain, Brevo, Trezor
