Trezor : derrière le piratage, une faille chez Brevo qui a touché 138 comptes

Mardi, tu as peut-être reçu, « envoyé » par Trezor lui-même, un mail d'alerte sur un prétendu défaut des puces STM32. On t'expliquait hier comment reconnaître ce faux et pourquoi il était si crédible. Ce matin, on sait pourquoi le faux était aussi vrai : Brevo, le prestataire e-mail que Trezor utilise pour sa newsletter, a publié son propre bilan de l'attaque. Et le mécanisme qu'il décrit est plus inquiétant que le piratage d'un simple mot de passe.

Comment un attaquant est entré chez 138 clients de Brevo

Brevo est une plateforme d'envoi d'e-mails (newsletters, confirmations de commande, alertes de sécurité) utilisée par des centaines de milliers d'entreprises. Dans son bilan publié jeudi matin, l'entreprise raconte la manœuvre : l'attaquant a créé son propre compte Brevo, y a activé l'authentification unique (le SSO, un système où la connexion passe par un fournisseur d'identité externe), puis a invité à cette configuration de vrais comptes clients Brevo.

Le piège est là : les invitations SSO auraient dû donner accès uniquement au compte de l'attaquant. Mais une limite de sécurité n'a pas été appliquée, et l'invitation a ouvert les portes de toutes les organisations que ces utilisateurs pouvaient atteindre. Résultat : 138 comptes clients compromis. Six ont servi à envoyer les mails de phishing, les contacts ont été exportés pour 43, et 93 n'ont montré aucune activité. Brevo a fermé la brèche le 10 septembre à 8h30 (UTC), déconnecté tous les utilisateurs, promis un correctif permanent et déposé plainte. Les mails sont partis via l'infrastructure légitime : SPF, DKIM, tout passait. Impossible de trier ces messages à l'adresse expéditeur.

Source : Trezor

Le bilan Trezor : 347 000 contacts visés, 2 500 clics

Dans son article détaillé, Trezor confirme les chiffres. Le mail piégé est bien parti vers 347 000 abonnés à sa newsletter, la seule donnée présente chez Brevo. L'entreprise a coupé le domaine utilisé par l'attaque en moins de 20 minutes, mais environ 2 500 personnes avaient déjà cliqué sur le lien avant la coupure. Le mail invitait à télécharger une application demandant la sauvegarde du portefeuille : la liste de mots qui donne accès à tous les fonds. Trezor précise qu'aucun mot de passe, aucune donnée de portefeuille ni autre information personnelle n'était hébergée chez Brevo, et qu'elle considère désormais toutes ces adresses comme connues de l'attaquant, donc réutilisables pour de futures attaques.

Le rappel qui sauve : cliquer seul ne fait rien. Seul le fait d'avoir saisi sa phrase de récupération sur le faux outil expose tes fonds, et il faut alors immédiatement transférer vers un nouveau portefeuille. Si tu n'as rien saisi, rien à faire. Trezor avertit en revanche que ces adresses e-mail, désormais connues de l'attaquant, serviront probablement à de nouvelles tentatives plus ciblées.

BitBox et CoinTracking, mêmes comptes, même faille

L'attaque n'a pas eu qu'une seule victime. BitBox, le fabricant suisse concurrent, confirme qu'un mail frauduleux est bien parti via son compte Brevo, atteignant sa liste complète de newsletter et de tutoriels. CoinTracking, un outil de suivi de portefeuille et de calcul d'impôts crypto, a vu partir un faux « Data Breach Notice » invitant à renouveler ses clés d'API. Même faille, même mécanique, trois cibles : le problème dépasse largement Trezor, et les 138 comptes touchés chez Brevo appartenaient à des clients variés, pas seulement à des entreprises crypto.

La vraie leçon : la faille est chez le prestataire

Ce qui rend ce cas précieux pour tout le monde : il ne s'agit pas d'un mot de passe volé, mais d'un défaut de conception. Une invitation SSO mal bornée, un accès qui dépasse la frontière de l'organisation prévue. Aucune vigilance du destinataire ne détecte ce type d'attaque, l'expéditeur est authentique par construction. La protection se joue en amont, chez le fournisseur, et Brevo a reconnu la faute sans détour : « les clients nous confient l'accès à leurs audiences, et dans ce cas nous avons échoué à la protéger ».

Pour toi, la règle ne change pas, elle se renforce. Un mail peut désormais venir du vrai domaine d'une entreprise, avec la signature et les sceaux de sécurité vérifiés, et rester un piège. La phrase de récupération d'un portefeuille ne se saisit jamais sur un site web. Et toute urgence annoncée par e-mail se vérifie en tapant soi-même l'adresse du site, jamais en cliquant sur le lien reçu. La frontière n'est plus « est-ce que l'expéditeur a l'air vrai ? » : c'est « est-ce qu'on me demande quelque chose que je ne ferais jamais ? ».

Sources

Brevo : le bilan officiel de l'incident par le prestataire, avec le mécanisme de la faille SSO et le détail des 138 comptes.

Trezor : l'article détaillé de l'entreprise, chiffres de la campagne (347 000 contacts, 2 500 clics) et consignes pour les clients concernés.

Cointelegraph : la confirmation indépendante, avec les déclarations de BitBox et de CoinTracking.

—

Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.