老牌电子邮件营销平台Mailchimp已经证实，黑客利用内部工具窃取了其100多个客户的数据--这些数据被用来对加密货币服务的用户进行钓鱼攻击。

Mailchimp周一向媒体证实了这一漏洞，但在周末，当Trezor硬件加密货币钱包的用户报告说被复杂的钓鱼邮件盯上时，这一漏洞就已经暴露出来。

在发给The Verge的一份声明中，Mailchimp CISO Siobhan Smyth说，该公司在3月26日发现该公司的客户支持和账户管理团队使用的一个工具被未经授权的访问时，已经意识到了这个漏洞。Smyth说，尽管Mailchimp在得知漏洞后停用了受影响的员工账户，但黑客仍然能够查看大约300个Mailchimp用户账户，并从其中102个账户获得受众数据。

"我们为这一事件向我们的用户真诚地道歉，并意识到它给我们的用户和他们的客户带来了不便和问题，"Smyth说。"我们对我们的安全文化、基础设施以及客户对我们保护其数据的信任感到自豪。我们对我们的安全措施和强大的程序有信心，以保护我们用户的数据和防止未来的事件"。

然而，黑客的细节显示，Mailchimp的内部工具被破坏只是一个更大的难题中的一个部分。据Bleeping Computer报道，其中一个被盗的电子邮件名单被用来向Trezor客户发送虚假的数据泄露通知，促使他们下载新版的Trezor Suite桌面应用程序。事实上，该电子邮件将用户引向一个钓鱼网站，该网站托管了该应用程序的一个假版本，旨在窃取种子短语，使黑客能够完全控制用户的加密货币钱包。目前还不清楚是否有Trezor用户的资金被攻击盗走。

在周一发表的一篇博文中，Trezor表示，这次攻击 "在复杂性上是特别的，而且......显然计划得很详细"，克隆版的Trezor Suite应用向安装它的人展示了一个现实的功能。Trezor钱包的制造商SatoshiLabs还没有对The Verge发出的进一步问题作出回应。

到目前为止，Mailchimp的分析认为，攻击者主要是为了获取加密货币和金融领域用户的数据。对于Trezor用户来说，以及其他所有数据被泄露的机构的客户来说，不幸的是，可以说一个熟练的威胁者现在已经知道了用户的电子邮件联系信息，并可能知道他们正在使用的加密货币硬件和软件类型。

Trezor设备的用户已被建议直接向[email protected]，报告任何新的网络钓鱼企图。Mailchimp表示，所有其他受影响账户的所有者已经被告知，因此受影响实体的更多通知可能很快会出现。

如若转载，请注明原文地址