Trezor ostrzega przed nowym phishingiem

Trezor znów na celowniku oszustów

Użytkownicy portfeli sprzętowych Trezor padli ofiarą wyjątkowo dopracowanej kampanii phishingowej. Atak był możliwy po naruszeniu bezpieczeństwa u zewnętrznego dostawcy usług e-mail, z którego korzystał producent.

Firma potwierdziła, że rozsyłana była wiadomość o tytule "Critical Security Alert: STM32 Entropy Vulnerability". Nadawca próbował wzbudzić panikę, sugerując istnienie krytycznej luki w urządzeniach i nakłaniając odbiorców do pilnej aktualizacji portfela sprzętowego. Trezor jasno podkreślił, że ta wiadomość nie pochodzi od firmy i jest próbą wyłudzenia danych.

Dlaczego ten atak był groźniejszy niż zwykle

W tym przypadku oszuści nie korzystali z oczywistych błędów, takich jak literówki w adresie czy podejrzana domena. Przeciwnie — wiadomości zostały wysłane z infrastruktury, która wyglądała na autoryzowaną do komunikacji w imieniu Trezora.

To oznaczało, że:

• mail mógł przejść przez filtry antyspamowe,
• Gmail mógł oznaczać wiadomość jako wysłaną przez zaufaną domenę,
• odbiorcy mieli znacznie mniejsze szanse, by od razu rozpoznać oszustwo.

Według relacji pojawiających się w społeczności, fałszywe wiadomości wyglądały bardzo przekonująco i mogły prowadzić użytkowników do strony udającej proces weryfikacji bezpieczeństwa. Pojawiły się też sygnały, że przygotowany plik HTML mógł przekazywać wpisywane dane do Telegrama.

Trezor reaguje i wyłącza domenę

Producent poinformował, że zablokował powiązaną domenę i prowadzi analizę tego, w jaki sposób atakujący uzyskali dostęp do infrastruktury związanej z oficjalnym kanałem komunikacji. Na ten moment firma nie ujawniła, ilu klientów mogło otrzymać fałszywą wiadomość.

W praktyce cały incydent pokazuje, jak ważne jest zachowanie ostrożności nawet wtedy, gdy e-mail wygląda na autentyczny i pochodzi z dobrze znanej domeny.

To nie pierwszy taki problem

To kolejny kłopot bezpieczeństwa wokół Trezora w ostatnich tygodniach. Wcześniej ujawniono osobny incydent związany z firmą ShipMonk, odpowiedzialną za logistykę, który doprowadził do wycieku danych klientów. Z czasem liczba poszkodowanych została podniesiona do ponad 80 000 osób, a wśród ujawnionych informacji znalazły się m.in.:

• imiona i nazwiska,
• adresy e-mail,
• numery telefonów,
• adresy dostawy,
• numery zamówień.

Takie dane mogą później posłużyć do jeszcze skuteczniejszych ataków phishingowych, bo oszuści potrafią dopasować treść wiadomości do konkretnej ofiary.

Szerszy problem w branży

Niepokojące maile miały pojawić się także wobec klientów innych firm z rynku krypto, w tym BitBox i CoinTracking. To kolejny sygnał, że cyberprzestępcy coraz częściej celują nie tylko w giełdy, ale też w dostawców infrastruktury i usług pomocniczych.

Właśnie dlatego w branży kryptowalut podstawą pozostaje zasada ograniczonego zaufania: nawet jeśli wiadomość wygląda oficjalnie, warto sprawdzić ją w osobnym kanale i nie klikać w linki prowadzące do rzekomych alertów bezpieczeństwa.

Co warto zapamiętać

• fałszywy e-mail dotyczył rzekomej luki "STM32 Entropy Vulnerability",
• wiadomość została wysłana przez przejętą infrastrukturę e-mailową,
• Trezor potwierdził, że to phishing, a nie prawdziwy alert,
• firma wyłączyła powiązaną domenę i bada źródło incydentu,
• wcześniejszy wyciek u partnera logistycznego mógł zwiększyć ryzyko kolejnych prób wyłudzeń.

Dla użytkowników portfeli sprzętowych to ważne przypomnienie: nawet jeśli atak wygląda profesjonalnie, najbezpieczniej jest weryfikować każdą pilną prośbę o działanie poza wiadomością e-mail.