⚠️ インシデント Z @Trezor と Brevo は、はるかに大きな問題の一部であった。 以前、Brevo のメールインフラが乗っ取られ、Trezor ユーザー宛てのフィッシングメールが送信された件について記載した。今日、Trezor のマーケティングリストから 347,149 個の電子メールアドレスがエクスポートされたことが判明した。 しかし、Brevo の問題はこれで終わっていない。 9月14日、攻撃者は乗っ取った Cloudflare API キーを用いて、悪意のある Cloudflare Worker を起動した。約5.5時間にわたり、Brevo のインフラから配信されるウェブページと JavaScript スクリプトを改ざんすることが可能となった。 Sansec によると、この攻撃の潜在的な影響範囲は Brevo のコンポーネントを利用した10万以上のウェブサイトに及んだ。特定のユーザーには、Cloudflare の偽の認証画面が表示され、Windows でマルウェアをインストールするよう促すコマンドの実行を誘導した。WordPress の管理者がログインしている場合、悪意のあるプラグインのインストール試みも行われた。 現在のところ、この2番目の攻撃が https://t.co/tatMoNAHpP、Trezor Suite、または Trezor デバイスのファームウェアを対象としていたという確証はない。Trezor 自体は、自社システム、ウォレット、デバイスが安全であると引き続き主張している。 しかし、この一連の出来事は重要な教訓を示している。 まず、外部プロバイダーのインフラが悪用され、Trezor からの本物のメールのように見えるフィッシングメールが送信された。数日後、同じプロバイダーのインフラが、合法的なウェブサイトと CDN を通じて悪意のあるコードを配信するために利用された。 送信者の正当性、HTTPS、正しいドメインはもはや、表示されているコンテンツが安全であるという保証にはならない。 最後に、今回は2つのソースを提示する。Trezor ユーザーに関する部分については公式なTrezorの声明を、2番目の攻撃については Sansec の分析を参照することをお勧めする。これにより、Trezor が確認した事実とセキュリティ研究者が特定した事実を明確に区別できる。https://t.co/SwToyRL1V5 https://t.co/F6b5HWfpAn