Safepal-gebruikers in Italië krijgen valse beveiligingswaarschuwingen per post

Safepal-klanten in Italië krijgen valse brieven met gepersonaliseerde QR-codes en onjuiste firmwarewaarschuwingen. De phishingcampagne is gekoppeld aan een eerder datalek waarbij klantgegevens werden blootgesteld.

Wat er gebeurde

Italiaanse klanten van hardware wallet-maker Safepal ontvangen fysieke brieven die waarschuwen voor een zogenaamd kritisch firmwareprobleem. De waarschuwingen zijn vals en onderdeel van een gerichte phishingcampagne.

De brieven bevatten gepersonaliseerde QR-codes en juiste klantgegevens, zoals volledige namen, huisadressen en specifieke bestelgegevens. Scannen van de QR-code leidt volgens meldingen naar een vervalste Safepal-website die gehost wordt op Arweave. Die site toont ook de persoonlijke bestelgegevens van de ontvanger.

De campagne hangt samen met een eerder beveiligingsincident. Door een kwetsbaarheid in een order-tracking plugin kwamen de gegevens van bijna 40.000 klanten vrij. Het ging om namen, e-mailadressen, fysieke adressen en bestelgegevens. Safepal zegt dat private keys en recovery phrases niet zijn gelekt.

Safepal meldde dat het op de hoogte is van een 'wave' van fysieke phishingbrieven en riep getroffen klanten op de brieven te negeren. Het bedrijf adviseerde niet de QR-codes te scannen en niet de gelinkte websites te bezoeken. Ook vroeg Safepal om melding te maken bij de lokale politie en bij zijn eigen scam-protectieteam om frauduleuze domeinen offline te krijgen.

Sinds het lek heeft Safepal aanvullende beveiligingsmaatregelen genomen. Het schakelde anti-phishingproviders in, zoals Phishfort, en liet een onafhankelijke security-audit uitvoeren die op 30 oktober geen kwetsbaarheden vond in het beoordeelde systeem. De aanvallen maken deel uit van een bredere toename van cyberaanvallen op fabrikanten van hardware wallets, waaronder Trezor, Ledger en Coldcard.