Namecheaps e-postkonto bröts på söndagskvällen för att användas för att skicka nätfiske-mejl till Namecheap-kunder. – i ett försök att stjäla känslig information.
Den okända hotaktören använde DHL- och MetaMask-teman för att stjäla data: kundernas plånboksnycklar för kryptovaluta och annan viktig information. Namecheap inaktiverade sitt komprometterade e-postkonto och sa att det undersökte händelsen.
Namecheap e-postkonto exploatering
Sedan igår har flera Namecheap-användare klagat på att ha fått misstänkta e-postmeddelanden från tjänsten som begär känsliga detaljer: som senare bekräftades vara en hackincident, som Namecheaps vd Richard Kirkendall sa i en tweet.
Människor märkte att de misstänkta e-postmeddelandena skickades över SendGrid-nätverket, en e-postleveranstjänst som Namecheap ofta använder för att skicka transaktions- och marknadsföringsmeddelanden till sina kunder. Hackarna som gjorde intrång i Namecheaps e-postkonto använde detta för att skicka nätfiske-e-postmeddelanden till sina kunder och bad om känslig data.
Se upp för nätfiske-e-postmeddelanden som kommer ifrån @CheapNames @SendGrid konto. DHL, MetaMask, digitalt signerad med DKIM. Det verkar som om hackare på låg nivå kunde ta sig in i deras system. PII verkar vara exponerat. pic.twitter.com/IuLE8mo2w6
—Kathy Zant (@kathyzant) 12 februari 2023
De flesta rapporterade att de såg e-postmeddelanden med DHL eller MetaMask-tema – där den första ber användarna att fylla i viktig information om namnet på en fraktkostnad för ett paket. Om inte, fick några nätfiske-e-postmeddelanden från MetaMask som bad om deras privata nyckel för kryptovaluta-plånbok.
Detta drivs av en väntande KYC-verifiering (Känn din kund) för att förhindra att din plånbok stängs av! Det misstänkta e-postmeddelandet innehåller en Namecheap-marknadsföringslänk som omdirigerar användaren till en nätfiskesida som utger sig för att vara MetaMask. När den anländer ber den användaren att ange sin ‘Hemlig återhämtningsfras antingen “Privat nyckel” att behandla begäran.
Kirkendall sa att de tror att intrånget kan vara relaterat till CloudSek-rapporten från december, där Mailgun, MailChimp och SendGrid API-nycklar exponerades i mobilappar. Men en BleepingComputer-förfrågan för Twilio (förälder till SendGrid) förnekade denna möjlighet och uppgav att intrånget inte var resultatet av något hack. Istället uppmuntrade de användare att använda flera säkerhetsmetoder som 2FA, IP-adressbaserad åtkomst, etc., för att vara säkra.
