Aktualizované: Chyba SAML v Brevo umožnila phishing z účtu Trezoru
Brevo potvrdilo chybu v spracovaní SAML SSO, cez ktorú útočník získal prístup k 138 zákazníckym účtom. Jeden z nich patril Trezoru a poslúžil na rozoslanie phishingu približne 347-tisíc adresátom.
Chyba SAML Brevo stála za septembrovým incidentom, pri ktorom útočník získal prístup k 138 zákazníckym účtom e-mailovej platformy. Medzi zasiahnutými bol newsletterový účet výrobcu hardvérových kryptopeňaženiek Trezor, z ktorého útočník rozoslal phishingovú správu približne 347-tisíc adresátom.
Brevo po incidentovej analýze uviedlo, že útočník zneužil chybu v spracovaní SAML SSO, teda systéme jednotného prihlasovania. Zlyhanie mu umožnilo pristupovať k účtom zákazníkov. Brevo už počas riešenia incidentu 10. septembra obmedzilo prihlasovanie cez SSO/SAML.
Chyba SAML Brevo zasiahla 138 účtov
Podľa postmortemu Brevo útočník získal prístup k 138 zákazníckym účtom. Zo šiestich z nich rozosielal phishingové e-maily a pri 43 účtoch exportoval kontakty. Pri zostávajúcich 93 účtoch firma nezistila významnú aktivitu.
Brevo verejne neuviedlo identitu útočníka ani úplný zoznam dotknutých zákazníkov. Rovnako nie je potvrdené, či export kontaktov zasiahol priamo účet Trezoru. Trezor preto preventívne považuje všetkých približne 347-tisíc e-mailových adries, ktorým bola správa odoslaná, za potenciálne známe útočníkovi.
Nové zistenia nahrádzajú pôvodne neznámy mechanizmus kompromitácie konkrétnym popisom problému v izolácii prístupov pri SAML SSO. Potvrdzujú aj širší rozsah incidentu v Brevo, no samy osebe nedokazujú export kontaktného zoznamu Trezoru.
Phishing z účtu Trezoru smeroval na zálohu peňaženky
Útočník cez newsletterový účet Trezoru rozoslal e-mail s odkazom na stiahnutie aplikácie a výzvou na zadanie zálohy peňaženky, známej aj ako seed alebo obnovovacia fráza. Trezor deaktivoval svoj účet v Brevo a doménu škodlivého odkazu znefunkčnil na úrovni DNS.
Pred zablokovaním odkazu naň kliklo približne 2 500 ľudí. Nie je známe, koľko z nich následne zadalo zálohu peňaženky do škodlivej aplikácie. Potvrdené nie sú ani prípady odcudzenia kryptomien v súvislosti s touto kampaňou.
Trezor uviedol, že jeho peňaženky, produkty ani účtové systémy neboli kompromitované. Incident sa týkal externého komunikačného kanála prevádzkovaného službou Brevo, nie infraštruktúry Trezoru.
Príjemcovia majú počítať s ďalšími podvodmi
Pre oslovených používateľov zostáva relevantné riziko následného cieleného phishingu, ktorý môže zneužívať meno Trezoru alebo nadväzovať na pôvodnú správu. Seed ani obnovovaciu frázu by nemali zadávať do aplikácie, webového formulára či e-mailu, na ktorý ich navádza nevyžiadaná správa.
Ďalšie informácie môže priniesť podrobnejšia časová os Brevo, prípadné zverejnenie ďalších zasiahnutých zákazníkov a potvrdenie, či boli z účtu Trezoru exportované kontakty. Dôležité budú aj hlásenia o nadväzujúcich phishingových kampaniach alebo potvrdených finančných stratách.
Zdroje
- Trezor – Potvrdzuje zneužitie newsletterového účtu, približne 347-tisíc oslovených adries, 2 500 kliknutí, mitigáciu a nezasiahnutie systémov Trezoru.
- Brevo Status – Potvrdzuje, že Brevo 10. septembra riešilo incident s prístupom útočníka ku klientskym účtom a obmedzilo SSO/SAML prihlásenie.
- The Record – Koroboruje postmortem Brevo: 138 zasiahnutých účtov, šesť použitých na phishing a export kontaktov zo 43 účtov.
- SecurityWeek – Koroboruje mechanizmus chyby SAML SSO a jej následok v podobe prístupu naprieč organizáciami.
Overené a aktualizované: 12. 09. 2026 15:27
