⚠️ INCIDENT Z @Trezor : Brevo s’est révélé faire partie d’un problème bien plus vaste. Il y a quelques jours, j’ai écrit sur la prise de contrôle de l’infrastructure de messagerie de Brevo, utilisée pour envoyer un phishing aux utilisateurs de Trezor. Aujourd’hui, nous savons que 347 149 adresses e-mail ont été exportées depuis la liste marketing de Trezor. Mais les problèmes de Brevo ne s’arrêtent pas là. Le 14 septembre, les attaquants ont exploité une clé API Cloudflare compromise pour déployer un Cloudflare Worker malveillant. Pendant environ 5,5 heures, il a permis de modifier les pages et les scripts JavaScript fournis par l’infrastructure de Brevo. Selon Sansec, l’impact potentiel concernait plus de 100 000 sites web utilisant des composants de Brevo. Certains utilisateurs ont vu apparaître une fausse vérification Cloudflare les incitant à exécuter une commande Windows entraînant l’installation de malware. Pour les administrateurs WordPress connectés, une tentative d’installation d’un plugin malveillant a également été effectuée. Il n’existe pour l’instant aucune confirmation que cet second attaque a ciblé https://t.co/tatMoNAHpP, Trezor Suite ou le firmware des appareils Trezor. Trezor maintient que ses systèmes, portefeuilles et appareils sont restés sécurisés. Toute cette histoire révèle toutefois un point essentiel. D’abord, l’infrastructure d’un fournisseur externe a permis d’envoyer un phishing semblant provenir légitimement de Trezor. Quelques jours plus tard, la même infrastructure a été utilisée pour distribuer du code malveillant via des sites et un CDN légitimes. L’expéditeur légitime, le HTTPS ou le bon nom de domaine ne suffisent plus à garantir que ce que nous voyons est sécurisé. En bas, je vous propose deux sources : le communiqué officiel de Trezor pour la partie concernant ses utilisateurs, et l’analyse de Sansec pour le second attaque. Cela distingue clairement ce que Trezor a confirmé de ce que les chercheurs en sécurité ont établi. https://t.co/SwToyRL1V5 https://t.co/F6b5HWfpAn