⚠️ INCIDENT Z @Trezor I Brevo RESULTÓW SERVIRSE COMO PARTE DE UN PROBLEMA MUCHO MÁS GRANDE. Hace algún tiempo escribí sobre la toma de control de la infraestructura de correo de Brevo, utilizada para enviar phishing a los usuarios de Trezor. Hoy sabemos que se exportaron 347.149 direcciones de correo electrónico desde la lista de marketing de Trezor. Pero los problemas de Brevo no terminaron ahí. El 14 de septiembre, los atacantes utilizaron una clave API de Cloudflare comprometida para activar un Cloudflare Worker malicioso. Durante aproximadamente 5,5 horas, permitió modificar páginas y scripts JavaScript entregados por la infraestructura de Brevo. Según Sansec, el alcance potencial afectó a más de 100.000 sitios web que utilizaban componentes de Brevo. A ciertos usuarios se les mostró una falsa verificación de Cloudflare que los inducía a ejecutar un comando en Windows que llevaba a la instalación de malware. En el caso de administradores de WordPress conectados, también se intentó instalar un plugin malicioso. Actualmente no hay confirmación de que este segundo ataque afectara a https://t.co/tatMoNAHpP, Trezor Suite o el firmware de los dispositivos Trezor. Trezor sigue afirmando que sus sistemas, billeteras y dispositivos permanecieron seguros. Sin embargo, toda la historia revela algo fundamental. Primero, la infraestructura de un proveedor externo permitió enviar un phishing que parecía una comunicación legítima de Trezor. Pocos días después, la misma infraestructura del proveedor se utilizó para distribuir código malicioso a través de sitios web y CDN legítimos. El remitente correcto, HTTPS o un dominio válido ya no son garantías suficientes para asegurar que lo que vemos es seguro. Al final, les proporcionaré dos fuentes: el comunicado oficial de Trezor para la parte relacionada con sus usuarios y el análisis de Sansec para el segundo ataque. Esto separa claramente lo que Trezor confirmó de lo que descubrieron los investigadores de seguridad. https://t.co/SwToyRL1V5 https://t.co/F6b5HWfpAn