Une campagne de phishing visant Trezor a exploité une infrastructure de messagerie de confiance après la compromission de Brevo

Une alerte de sécurité convaincante a atteint environ 347 000 adresses

Une campagne de phishing signalée le 10 septembre 2026 a ciblé des clients de Trezor par l’intermédiaire de l’infrastructure de newsletters gérée par le fournisseur de messagerie tiers Brevo. Les messages frauduleux semblaient provenir de [email protected], laissant aux destinataires peu de raisons habituelles de se méfier de l’expéditeur.

L’e-mail portait l’objet Critical Security Alert: STM32 Entropy Vulnerability. Il affirmait qu’une faiblesse des microcontrôleurs STM32 utilisés par les hardware wallets de Trezor pouvait exposer les seeds des portefeuilles à des attaques par force brute.

Cette alerte était fabriquée de toutes pièces. Trezor a indiqué que les messages n’étaient pas autorisés et ne correspondaient pas à une divulgation de vulnérabilité authentique de la part de l’entreprise. Rien ne prouve que les attaquants aient compromis les appareils Trezor, leurs protections cryptographiques ou le matériel STM32 lui-même.

Selon le récit de l’incident publié par SecurityWeek, environ 347 000 adresses e-mail de clients de Trezor stockées dans le compte Brevo ont été ciblées. Près de 2 500 destinataires ont cliqué sur le lien intégré avant la désactivation du site de phishing, environ 20 minutes après sa détection.

Le nombre de victimes ayant transmis des informations sensibles reste inconnu. Trezor n’a pas fait état de pertes confirmées en cryptomonnaies ni indiqué combien de personnes avaient saisi des informations de récupération sur la page de phishing.

La combinaison d’un domaine d’expédition de confiance, d’une alerte urgente concernant la sécurité du matériel et d’un site conçu pour ressembler à un service légitime de cryptomonnaie a rendu la campagne particulièrement convaincante. Il ne s’agissait pas simplement d’un spam massif utilisant un nom d’affichage falsifié. Les attaquants avaient exploité l’accès à un canal de communication établi.

La fausse faille STM32 visait à dérober les sauvegardes des portefeuilles

Le message de phishing cherchait à susciter la peur autour de la génération d’entropie, un concept technique qui a une incidence directe sur la sécurité des clés cryptographiques. En affirmant que les composants STM32 produisaient des seeds de portefeuille vulnérables, les attaquants donnaient aux destinataires une raison plausible d’agir immédiatement.

Le site malveillant cherchait ensuite à obtenir des informations de sauvegarde du portefeuille. Les détails techniques de sa mise en œuvre, de son infrastructure d’hébergement, de son code de traitement des données et des champs de saisie exacts n’ont pas été divulgués.

L’objectif recherché est néanmoins clair : l’obtention d’une seed de récupération permettrait à un attaquant de reconstituer le portefeuille de la victime et d’en transférer les actifs. De telles transactions peuvent être irréversibles, même si la victime découvre rapidement la fraude.

Un fournisseur légitime de portefeuille ne devrait jamais demander à un utilisateur de saisir une phrase de récupération, une clé privée, un code PIN ou un code d’authentification sur un site accessible depuis un e-mail non sollicité. La sécurité d’un hardware wallet ne peut plus protéger les fonds dès lors que son secret de récupération a été volontairement communiqué à un attaquant.

Trezor a demandé aux destinataires de ne pas suivre le lien et a mis hors ligne le domaine malveillant. L’entreprise a également commencé à enquêter sur la compromission du fournisseur et sur le mécanisme ayant permis aux attaquants d’envoyer des messages depuis une identité de messagerie apparemment légitime.

Aucun identifiant CVE n’a été attribué ni communiqué pour la vulnérabilité de Brevo. Les versions concernées des logiciels Brevo, si la notion de version s’applique au service hébergé, ne sont pas connues non plus.

Une faille d’autorisation SAML a permis un accès entre organisations

Brevo a attribué la compromission initiale à une erreur d’implémentation dans son système de Single Sign-On basé sur Security Assertion Markup Language. Le SAML SSO permet à un service de s’appuyer sur un fournisseur d’identité externe pour authentifier les utilisateurs, mais il doit également limiter les ressources accessibles à chaque identité authentifiée.

L’attaquant a d’abord créé un compte Brevo et activé le SSO pour celui-ci. Des utilisateurs légitimes de Brevo ont ensuite été invités à rejoindre la configuration SSO contrôlée par l’attaquant.

À l’aide de son propre fournisseur d’identité, l’attaquant s’est authentifié comme ces utilisateurs invités. La défaillance critique est survenue après l’authentification : Brevo ne limitait pas correctement l’accès à l’organisation pour laquelle cette configuration SSO avait été activée.

L’attaquant pouvait au contraire accéder à toutes les organisations Brevo disponibles pour les utilisateurs usurpés. En pratique, une relation de confiance créée pour un tenant est devenue une passerelle vers des environnements clients sans lien entre eux.

Cette distinction est importante. L’authentification établissait l’identité que la plateforme attribuait à l’utilisateur, tandis qu’une autorisation défaillante déterminait les organisations auxquelles cette identité pouvait accéder. Ce second contrôle n’a pas permis de préserver l’isolation entre les tenants.

Brevo a indiqué que l’accès non autorisé avait finalement affecté 138 comptes clients. Six d’entre eux ont servi à envoyer des messages de phishing, tandis que des coordonnées ont été exportées depuis 43 comptes. Une première notification faisait état de 120 comptes clients concernés, mais l’analyse technique publiée ultérieurement a porté ce chiffre à 138.

Brevo a déclaré avoir expulsé l’attaquant, fermé la voie d’accès non autorisé et déployé une correction permanente du problème de périmètre des autorisations SAML. L’entreprise a également indiqué qu’elle comptait coopérer avec les autorités judiciaires.

CoinTracking et BitBox ont été touchés par le même incident chez le fournisseur

Trezor n’est pas la seule entreprise de cryptomonnaie dont les abonnés ont reçu des messages malveillants. CoinTracking et BitBox ont également confirmé des campagnes visant leurs audiences de newsletters, selon les informations consacrées aux entreprises de cryptomonnaie concernées.

CoinTracking a identifié Brevo comme son fournisseur et signalé un message intitulé Data Breach Notice: Please refresh API Keys as soon as possible. Ce leurre cherchait à rediriger les destinataires vers un lien malveillant sous prétexte de sécuriser leurs identifiants API.

Des clés API compromises peuvent exposer des données de portefeuille ou permettre des opérations non autorisées, selon les permissions accordées à chaque clé. Les pertes confirmées et le nombre de destinataires de CoinTracking concernés ne sont pas connus.

BitBox a averti les abonnés à sa newsletter, contacté son fournisseur, signalé les domaines de phishing et indiqué que la plupart des liens associés semblaient avoir été supprimés. L’entreprise n’a pas précisé combien de destinataires avaient été ciblés ni mentionné publiquement Brevo dans la déclaration citée.

L’impact sur plusieurs entreprises montre pourquoi les plateformes marketing constituent des cibles de choix. Une seule faille d’autorisation peut exposer les listes de diffusion de nombreux clients tout en donnant accès à des systèmes d’envoi auxquels les destinataires accordent déjà leur confiance.

Les contrôles d’authentification des e-mails peuvent ne pas bloquer de tels messages lorsque l’attaquant opère depuis une infrastructure autorisée. Du point de vue du serveur destinataire, le message peut sembler nettement plus légitime qu’un e-mail issu d’une simple usurpation de domaine.

Les expositions de données antérieures accroissent le risque d’attaques ciblées

La campagne menée via Brevo fait suite à une autre compromission liée à Trezor, qui concernait ShipMonk, le prestataire d’expédition et de logistique de l’entreprise. Trezor avait divulgué cet incident en août.

Une première estimation évaluait à environ 14 000 le nombre de clients concernés. Une mise à jour datée du 4 septembre a ajouté 67 000 clients aux États-Unis, portant le total communiqué à 81 000.

Les données exposées comprenaient les noms complets, les adresses e-mail et postales, les numéros de téléphone ainsi que les informations de commande. Des clients au Brésil, en Colombie, en Italie, au Portugal, en Suède et au Royaume-Uni ont été concernés lorsque leurs commandes avaient été passées entre le 10 mai et le 8 août 2026.

Les notifications de violation indiquaient que les attaquants avaient exploité une zero-day critique d’injection SQL dans la plateforme d’analyse Metabase au sein de l’environnement de ShipMonk. Cette faille aurait permis d’obtenir un accès administrateur et de dérober des données. Aucun identifiant CVE ni aucune version concernée de Metabase n’ont été communiqués.

ShipMonk a également reçu des e-mails d’extorsion du groupe ShinyHunters, selon le compte rendu de BleepingComputer consacré aux incidents. Cette attribution n’a pas été établie de manière indépendante dans les autres articles cités.

Certains clients de Trezor ont ensuite reçu des QR codes malveillants par courrier postal. Les adresses physiques et les historiques de commande peuvent aider les criminels à distinguer les véritables détenteurs de cryptomonnaies des personnes qui s’étaient simplement abonnées à une newsletter.

Ce n’est pas la première exposition de données de Trezor impliquant un tiers. En janvier 2024, des attaquants avaient compromis son portail externe de gestion des tickets de support, exposant les noms, les noms d’utilisateur et les adresses e-mail d’environ 66 000 utilisateurs.

Les informations issues de plusieurs violations peuvent être recoupées. Un attaquant qui dispose du nom d’une personne, de son historique d’achat lié à un portefeuille, de son numéro de téléphone, de son adresse et de son e-mail peut élaborer des scénarios d’usurpation, d’extorsion ou de récupération de compte bien plus crédibles.

Les conséquences peuvent également dépasser le cadre de la fraude en ligne. L’identification des détenteurs de cryptomonnaies et de leur lieu de résidence crée un risque de cambriolage, de coercition et d’attaques dites au wrench.

Ce que les destinataires et les entreprises doivent faire dès maintenant

Toute personne ayant reçu l’e-mail faisant référence à STM32 doit le considérer comme malveillant, même s’il semblait provenir du domaine de Trezor. Le lien intégré ne doit pas être ouvert ni consulté à nouveau.

Les utilisateurs ayant saisi une phrase de récupération doivent considérer que le secret du portefeuille est compromis. Transférer les actifs vers un portefeuille nouvellement créé avec une nouvelle seed de récupération est plus sûr que de simplement modifier le code PIN, car l’ancienne seed suffit toujours à reconstituer le portefeuille.

Les destinataires doivent également :

• Vérifier l’historique des portefeuilles et des plateformes d’échange afin de repérer les transactions non autorisées.
• Renouveler les mots de passe et les clés API saisis après avoir suivi des liens suspects.
• Révoquer les permissions API inutiles et les sessions actives.
• Activer une authentification multifacteur robuste partout où elle est proposée.
• Accéder aux services de portefeuille et d’échange depuis des applications connues ou en saisissant manuellement leurs adresses officielles.
• Se méfier des appels, courriers, QR codes ou services de « récupération » faisant référence à l’incident.

Les entreprises qui utilisent Brevo ou des plateformes marketing similaires doivent auditer les relations de confiance SAML et vérifier que l’autorisation est appliquée séparément à chaque tenant et à chaque organisation. Elles doivent invalider les sessions et les tokens, examiner l’activité administrative et déterminer si des listes de contacts ont été consultées ou exportées.

La surveillance doit également couvrir les campagnes envoyées depuis des domaines légitimes, et pas uniquement les tentatives évidentes d’usurpation. Dans cet incident, l’authenticité du canal d’envoi faisait partie intégrante de l’attaque. L’alerte de sécurité elle-même constituait la tromperie.