La violazione dei login di Brevo ha colpito Trezor, BitBox e CoinTracking

Un attaccante ha sfruttato una vulnerabilità nel sistema di accesso di Brevo, una piattaforma di email marketing, ottenendo l’accesso a 138 account clienti e consentendo l’invio di una mail di phishing che ha raggiunto circa 347.000 iscritti alla newsletter di Trezor. Messaggi fraudolenti analoghi sono stati inoltrati attraverso account collegati al produttore di portafogli hardware BitBox e alla piattaforma di monitoraggio portafogli e rendicontazione fiscale CoinTracking.

Dettagli tecnici dell’incidente

Brevo ha reso noto, nel proprio postmortem, che sei account sono stati utilizzati per inviare le mail di phishing, che i contatti sono stati esportati da 43 account e che 93 account non hanno mostrato attività significativa. La piattaforma non ha chiarito se queste categorie si sovrappongano.

L’attaccante ha creato un account su Brevo, ha attivato la funzione single sign-on e ha invitato utenti legittimi della piattaforma nella configurazione. Un confine di autorizzazione non ha funzionato correttamente, permettendo così all’attore di ottenere accesso a tutte le organizzazioni raggiungibili dagli utenti invitati anziché limitarsi all’organizzazione iniziale.

Impatto sulle aziende coinvolte

Trezor ha spiegato che il messaggio di phishing, intitolato STM32 Entropy Vulnerability, includeva un link a un’app che richiedeva ai destinatari il backup dei portafogli. La società ha provveduto a disabilitare il dominio interessato a livello DNS entro venti minuti, ma circa 2.500 persone avevano già fatto clic sul collegamento prima della rimozione.

Trezor ha dichiarato:

“L’email iniziale è stata inviata a circa 347.000 clienti.”

Trezor ha inoltre precisato che l’account su Brevo conteneva solo indirizzi email opt-in per la newsletter e nessun altro dato cliente. La società sta pertanto trattando tutti i circa 347.000 indirizzi come potenzialmente noti all’attaccante e riutilizzabili per ulteriori campagne di phishing fino a chiarimenti più approfonditi da parte di Brevo.

Un portavoce di BitBox ha confermato che l’email non autorizzata è stata inviata tramite Brevo e sembra aver raggiunto l’intera lista newsletter e tutorial dell’azienda. BitBox ha dichiarato che nella piattaforma erano presenti solo indirizzi email e preferenze di lingua e che, allo stato attuale, non sono emerse prove di credenziali aziendali compromesse, contatti scaricati, perdite di fondi o frasi di recupero divulgate; tuttavia sta trattando la lista come potenzialmente accessata in attesa dei log completi di Brevo.

CoinTracking ha segnalato che dal suo account Brevo è stata inviata una mail con oggetto “Data Breach Notice: Please refresh API Keys as soon as possible.” e ha avvertito i destinatari di non seguire i link contenuti nel messaggio.

Conseguenze per gli utenti e misure adottate

Le aziende colpite hanno contattato gli utenti coinvolti per informarli del rischio e hanno preso provvedimenti tecnici immediati, come la disabilitazione dei domini malevoli e la verifica delle liste di contatti. Le indagini sono in corso per determinare l’entità esatta dei dati esportati e per ottenere i log completi da Brevo.

Dal punto di vista operativo, l’incidente evidenzia i rischi associati all’uso di servizi di terze parti per la comunicazione con i clienti, in particolare quando vengono attivate integrazioni come il single sign-on. Un errore nella definizione dei confini di autorizzazione può trasformare un accesso legittimo in un vettore privilegiato per diffusione di contenuti fraudolenti attraverso molteplici organizzazioni.

Per gli utenti di servizi legati a criptovalute, la regola pratica è mantenere riservate le chiavi private e le frasi di recupero, diffidare di email che richiedono backup o aggiornamenti urgenti e verificare sempre la legittimità dei link tramite canali ufficiali indipendenti.

Quadro normativo e ricadute reputazionali

Dal punto di vista regolamentare, incidenti di questo tipo possono attivare obblighi di notifica ai sensi del GDPR e richiedere valutazioni di impatto per i responsabili del trattamento e i fornitori di servizi. Le società che operano nel settore delle criptovalute, già esposte a rischi di fiducia dei clienti, rischiano ulteriori danni reputazionali che possono tradursi in uscite di utenti o maggiori costi per la sicurezza e per la compliance.

In termini di mercato, fornitori terzi di servizi digitali e piattaforme di comunicazione potrebbero essere sottoposti a controlli più rigorosi da parte delle imprese clienti, con una conseguente possibile riallocazione dei budget verso soluzioni interne, fornitori con garanzie contrattuali più stringenti o servizi con certificazioni di sicurezza più elevate.

Come possono proteggersi gli investitori e gli utenti italiani

Gli investitori retail e professionali dovrebbero rafforzare le pratiche di sicurezza, adottando portafogli hardware per conservare asset di valore, abilitando l’autenticazione a più fattori su tutti i servizi e monitorando gli account per attività anomale. Le aziende italiane attive nel settore crypto dovrebbero rivedere i contratti con provider esterni, includere clausole di responsabilità e richiesta di log tempestivi e considerare audit di sicurezza indipendenti.

Inoltre, è consigliabile che le imprese comunichino in modo proattivo con la clientela riguardo ai canali ufficiali e alle procedure di verifica, riducendo così la probabilità che campagne di phishing raggiungano successo sfruttando la confusione degli utenti.

In sintesi

• Un guasto nelle autorizzazioni di un fornitore di email marketing ha amplificato il rischio per migliaia di utenti; per gli investitori ciò sottolinea il valore crescente della due diligence sui partner tecnologici.
• Il settore crypto, già sensibile alla fiducia degli utenti, può subire ripercussioni reputazionali che impattano liquidità e attrattività degli investimenti, rendendo più rilevanti politiche di sicurezza e trasparenza aziendale.
• Per il mercato italiano, l’episodio rafforza la necessità di standard contrattuali più severi con i provider esterni e di investimenti in controlli tecnici (es. gestione dei privilegi e logging) per contenere rischi sistemici.