Trezor、メール配信サービスBrevoの侵害で34.7万件のフィッシングメール送信被害　ベンダー経由の攻撃が相次ぐ

概要

ハードウェアウォレットメーカーのTrezorは9月11日、利用しているメール配信サービスBrevoが侵害され、約34.7万件の顧客メールアドレスを標的としたフィッシング攻撃に悪用されたと発表した。攻撃者はTrezorの正規アカウントを乗っ取り、「STM32エントロピー脆弱性に関する重大なセキュリティ警告（Critical Security Alert: STM32 Entropy Vulnerability）」と題した偽の警告メールを大量送信し、ウォレットのバックアップパスワードを盗み取ろうとした。Trezorによれば、リンクを実際にクリックした顧客は約2,500人にとどまり、検知から20分以内にフィッシング用ドメインを停止させたという。同社のコアシステム自体への侵入はなかったとしている。

侵害の技術的な経緯

侵害はBrevo側で9月9日に発生した。Brevoの説明によると、攻撃者はまず自ら不正なBrevoアカウントを作成してSAMLシングルサインオン（SSO）を有効化し、そこに正規のBrevo利用者を招待するという手口を用いた。本来であれば招待されたアカウントの権限は単一の組織内に限定されるはずだが、権限のスコープ設定に不備があったため、招待された利用者がアクセス可能な全ての組織に対して攻撃者側もアクセスできる状態になっていた。この不備を突かれ、Trezorを含む138のBrevo顧客企業アカウントが不正アクセスを受けた。実際にフィッシングメールの送信に使われたのは6アカウント、連絡先情報が窃取されたのは43アカウントとされる。BitBoxやCoinTrackingなど他の暗号資産関連企業も標的になったが、詳細な情報開示は限定的だという。

フィッシングの手口と被害

送信されたフィッシングメールは、Trezorのハードウェアウォレットに搭載されるSTM32マイクロコントローラーに脆弱性があり、シードフレーズがブルートフォース攻撃で解読される恐れがあると偽って警告し、対策アプリのダウンロードを促す内容だった。実際にこのアプリはウォレットのバックアップパスワードの入力を要求するものであり、入力してしまえば暗号資産をブロックチェーン上から永久に窃取される危険があった。Trezorは検知から20分でこのフィッシング用ドメインを無効化し、Brevoアカウント自体も停止する対応を取った。それでも約2,500人が実際にリンクをクリックしており、同社は今後も顧客のメールアドレスを狙った二次的なフィッシング試行が続く可能性があるとして注意を呼びかけている。

相次ぐベンダー経由のインシデント

Trezorにとって今回の侵害は、直近1か月足らずのうちに発生した2件目のサードパーティ経由のインシデントとなる。8月には物流委託先ShipMonkが侵害され、氏名・メールアドレス・住所を含む顧客の個人情報が流出、これを悪用した偽の物理郵便やQRコードを用いた詐欺も報告されている。ハードウェアウォレット利用者の個人情報が繰り返し流出していることで、資金を強奪する目的で被害者を直接脅迫する「レンチ攻撃」など、オンラインにとどまらない物理的なリスクへの懸念も指摘されている。Trezorは声明で、取引のあるベンダーとの関係を見直していると明らかにしており、暗号資産業界全体にとってもサプライチェーン上の第三者サービスの選定とセキュリティ管理が改めて課題として浮き彫りになった形だ。