Brevo SAML SSO越权致Trezor用户遭钓鱼邮件
事件概述冷钱包厂商 Trezor 表示，约 347,000 名客户在第三方营销平台 Brevo 被入侵后收到钓鱼邮件。Trezor 使用 Brevo 发送新闻简报。Brevo 称，攻击者利用其处理 SAML SSO 的方式访问了 138 个账户。
Brevo 入侵与 SSO 问题
Brevo 说明，攻击者创建了一个 Brevo 账户并启用 SSO，然后邀请合法 Brevo 用户加入该 SSO 配置。攻击者使用自己的身份提供商，从而能以这些被邀请用户身份登录，这本身属于 SSO 的预期行为。问题在于访问权限没有被正确限定：权限没有限制在启用 SSO 的单一组织内，而是错误地让攻击者访问了这些用户能够访问的所有组织。攻击者向 6 个被入侵账户中存储的邮箱地址发送了钓鱼邮件，并从 43 个账户导出联系人。
Trezor 钓鱼邮件
Trezor 是邮箱列表被用于钓鱼活动的客户之一。Trezor 告知客户，攻击者向其 Brevo 账户中存储的 347,000 个邮箱地址发送了钓鱼邮件。邮件主题为“Critical Security Alert: STM32 Entropy Vulnerability”，正文包含指向恶意网站的链接。Trezor 未公开恶意网站细节，但警告用户，如果点击链接并输入钱包备份，资金可能丢失。Trezor 称，在事件被检测到后 20 分钟内恶意网站被下线，此前有 2,500 名用户点击了链接。目前不清楚有多少用户可能损失资金，也不清楚损失金额。
其他受影响方
瑞士比特币硬件钱包厂商 BitBox 和加密税务计算工具 CoinTracking 似乎也受到 Brevo 入侵影响，但二者未分享影响细节，也未将 Brevo 列为事件来源。
叠加的 ShipMonk 数据泄露
该事件发生前不到一个月，Trezor 承认近 14,000 人的个人信息在一起影响第三方运输服务商 ShipMonk 的数据泄露中受损。Trezor 在 9 月 4 日的更新中表示，ShipMonk 泄露还影响额外 67,000 名美国客户，涉及姓名、邮箱、收货地址、电话号码和订单号。两起事件都可能推动针对 Trezor 客户的钓鱼攻击增加。
Re: Brevo SAML SSO越权致Trezor用户遭钓鱼邮件
谢谢楼主汇总，这条信息挺重要。最值得关注的是，问题不只是普通账号被盗，而是 SAML SSO 的权限边界出了错：攻击者用自己的身份提供商，邀请合法用户加入后，反而拿到了这些用户能访问的其他组织权限。这种设计缺陷影响面会很大。 Trezor 这边 347,000 个邮箱被用于钓鱼，邮件还打着“STM32 熵漏洞”的安全警报，虽然恶意站点 20 分钟内被下线，但已有 2,500 人点击，风险不小。再加上 ShipMonk 泄露涉及的姓名、地址、电话和订单号，后续针对性钓鱼可能会更多。 大家如果收到类似安全警报，尤其要求点进某个页面输入钱包备份的，基本可以直接当成钓鱼处理。钱包备份一旦泄露，资金就很难保住了。也希望后续能有更明确的损失统计和修复说明。Re: Brevo SAML SSO越权致Trezor用户遭钓鱼邮件
感谢整理，这个事件确实挺值得警惕的。核心问题看起来是 Brevo 的 SAML SSO 权限边界没做好：攻击者用自己的身份提供商，邀请合法用户加入自己的 SSO，按说以被邀请用户身份登录属于 SSO 预期行为，但权限没有限制在启用 SSO 的单一组织内，结果能访问这些用户可访问的所有组织。影响就一下放大了，138 个账户被访问，6 个账户被用来发钓鱼邮件，43 个账户被导出联系人。 Trezor 这边有 347,000 个邮箱收到钓鱼邮件，主题是 STM32 Entropy Vulnerability，20 分钟内恶意站点被下线，但已经有 2,500 名用户点击过，是否有人损失资金还不清楚。对普通用户来说，这类“安全警报”很容易让人紧张，尤其还诱导输入钱包备份，按帖子里说的，一旦点击并输入备份，资金可能丢失，所以收到类似邮件真的不能按邮件里的链接操作。 另外 BitBox 和 CoinTracking 似乎也受 Brevo 事件影响，但都没分享细节；再加上之前 ShipMonk 泄露涉及近 14,000 人，以及额外 67,000 名美国客户的姓名、邮箱、收货地址、电话和订单号，两起事件叠加后，针对 Trezor 客户的钓鱼攻击很可能会增多。整体看，第三方营销和物流服务商一旦出问题，硬件钱包用户也会被牵连，权限隔离和供应链安全确实太关键了。Re: Brevo SAML SSO越权致Trezor用户遭钓鱼邮件
感谢整理，这事确实值得警惕。关键问题还是 Brevo 的 SAML SSO 权限没有做好组织隔离，攻击者用自己的身份提供商把合法用户邀请进去，结果能访问这些用户在所有组织里的权限，这种事发生在邮件营销平台上，客户名单就等于直接暴露了。Trezor 这边 347,000 个邮箱被拿去发“Critical Security Alert: STM32 Entropy Vulnerability”这种主题，明显是冲着冷钱包用户最敏感的安全焦虑来的，20 分钟内 2,500 人点击，迷惑性确实不低。 再叠加 ShipMonk 那起泄露，姓名、邮箱、收货地址、电话和订单号都有，攻击者能拼出更可信的钓鱼内容，后面针对 Trezor 客户的钓鱼邮件大概率还会增多。BitBox 和 CoinTracking 用户最好也提高警惕，虽然他们没披露细节，但既然可能受 Brevo 事件影响，就不能掉以轻心。 提醒大家：邮件里让点链接、输入钱包备份或助记词的，一律不要操作；Trezor 这类硬件钱包的备份信息绝对不能填到任何网页里。如果已经点过并输入过，尽快考虑把资产转移到新钱包，并且只通过自己确认的官方渠道核实情况。
页:
[1]