Brevo breach: 138 account compromessi, phishing crypto da domini legittimi

Il 10 settembre 2026 alle 6:30 UTC Brevo, provider di email marketing, ha identificato una compromissione che ha esposto 138 account aziendali. L'attaccante ha sfruttato una vulnerabilità nel modo in cui la piattaforma gestisce l'autenticazione SAML SSO, ottenendo accesso sufficiente a inviare email di phishing da domini legittimi di aziende crypto e a esfiltrare elenchi contatti per attacchi futuri. L'incidente non colpisce i sistemi diretti delle vittime designate, ma il loro canale di comunicazione più affidabile.

Come funziona l'attacco: exploit SAML e trust dei domini aziendali

Secondo il postmortem di Brevo riportato da Malwarebytes, l'attaccante ha individuato una vulnerabilità nel meccanismo di Single Sign-On basato su SAML gestito dalla piattaforma. SAML (Security Assertion Markup Language) è un protocollo standard per lo scambio di dati di autenticazione tra identity provider e service provider; la sua implementazione, quando difettosa, può consentire escalation di privilegi o accesso non autorizzato a risorse multiple.

Ciò che è documentato è il risultato: accesso a 138 account, con diverso livello di attività successiva.

La caratteristica distintiva dell'attacco risiede nell'utilizzo di domini aziendali legittimi. Le email inviate non presentavano i classici indicatori di phishing: nessun dominio traslitterato, nessun errore ortografico evidente, nessun mittente sospetto. The Record cita testimonianze di utenti che le hanno percepite come comunicazioni autentiche, proprio perché originate dal canale ufficiale delle aziende. Questo annulla il principale meccanismo di difesa psicologico dell'utente: la verifica intuitiva della legittimità del mittente.

Trezor, CoinTracking, BitBox: le email di phishing e le reazioni

Tra le aziende i cui clienti hanno ricevuto email di phishing, le fonti confermano Trezor, CoinTracking e BitBox. I titoli esatti, riportati da Malwarebytes, rivelano una strategia di ingegneria sociale calibrata sul pubblico crypto: per Trezor, una finta vulnerabilità hardware ("Critical Security Alert: STM32 Entropy Bug Identified"); per CoinTracking, una falsa notifica di data breach con richiesta di aggiornamento chiavi API.

Trezor ha reagito attraverso i propri canali social con un messaggio che, citato da The Record, esplicita la natura del problema: "Do not click on any link. We have taken down the domain, and we are investigating the situation, including how the hackers got access to our legit domain". La formulazione è rilevante: Trezor riconosce che il dominio utilizzato era "legittimo", non contraffatto, il che conferma che la compromissione ha riguardato il canale di distribuzione piuttosto che l'infrastruttura proprietaria dell'azienda.

I numeri della compromissione: distribuzione dell'impatto

I dati quantitativi, tratti dal postmortem Brevo come riportato da Malwarebytes, mostrano una partizione precisa dei 138 account compromessi:

"On September 10th at 6:30 AM UTC we identified a security issue where an attacker exploited a flaw in the way Brevo handles SAML SSO to gain access to 138 Brevo accounts. 6 of those accounts were used to send phishing emails to the contacts stored there, and for 43 accounts they exported the contacts. 93 accounts have no meaningful activity." — Brevo postmortem, riportato da Malwarebytes

Brevo aveva inizialmente comunicato 120 account compromessi, correndo poi a 138 nel postmortem definitivo. I 93 account "senza attività significativa" non equivalgono a 93 account non accessibili: la fonte specifica assenza di attività, non di intrusione.

Il numero di vittime che abbiano effettivamente interagito con le email di phishing non è quantificato dalle fonti. Allo stesso modo, l'identità dell'attaccante o di un gruppo threat actor responsabile non emerge dal materiale disponibile.

Perché è importante

Secondo la fonte citata, Brevo ha indicato di aver rimosso l'attaccante dal sistema e distribuito una fix permanente, ma non specifica contenuto tecnico della patch né tempistiche di rollout.

La fonte non specifica se Brevo abbia notificato individualmente i titolari dei 138 account o i contatti esposti.

L'incidente solleva questioni non risolvibili sulle fonti disponibili: se la natura dell'exploit SAML sia configurativa o una vulnerabilità strutturale, se audit di sicurezza periodici avrebbero potuto rilevare la debolezza, se altri provider di email marketing condividano implementazioni SAML simili.

Per il settore crypto, il caso evidenzia una contraddizione strutturale. Le aziende investono in sicurezza hardware e custodia dei fondi, ma delegano a terzi il canale comunicativo più sensibile: quello attraverso cui instradano avvisi, aggiornamenti, verifiche. Quando quel canale viene compromesso, la difesa perimetrale dell'utente — riconoscere il phishing — si dissolve perché l'attacco arriva dal perimetro considerato sicuro.

Fonti

• https://www.malwarebytes.com/blog/news/2026/09/crypto-customers-targeted-by-scammers-after-email-marketing-provider-breach
• https://therecord.media/trezor-bitbox-cointracking-phishing-crypto-holders