Peretasan Brevo: Setelah Trezor, Data Pelanggan Paymium Terungkap

Korban kolateral baru. Setelah email palsu dari Trezor, kini giliran pelanggan Paymium yang menemukan bahwa data identitas mereka mungkin telah bocor. Platform Prancis ini telah memperingatkan penggunanya pada 22 September. Penyedia layanan emailnya, Brevo, sebelumnya telah digunakan sebagai titik awal untuk kampanye phishing terhadap Trezor, BitBox, dan CoinTracking pada awal September. Tidak ada dana yang bergerak. Namun, file pemegang kripto yang teridentifikasi sangat berharga di tengah gelombang penculikan.

Poin Kunci

• Paymium memperingatkan pelanggannya pada 22 September tentang akses tidak sah di router emailnya
• Identitas, tanggal lahir, telepon, dan negara tempat tinggal termasuk dalam data yang bocor
• Tidak ada kata sandi, kunci API, atau akses ke dana menurut platform
• Di Brevo, 138 akun pelanggan dibuka melalui celah koneksi tunggal

Kebocoran Data Paymium, Tagihan Datang Dua Belas Hari Kemudian

Pesan tersebut tiba di kotak masuk dua belas hari setelah kejadian. Paymium menjelaskan bahwa Brevo, alat yang mengelola sebagian pengirimannya, telah mengalami intrusi. Menurut pemberitahuan yang disampaikan oleh FrenchBreaches, pelanggar dapat mengakses alamat email, ID akun, nama, nama belakang, tanggal lahir, nomor telepon, dan negara tempat tinggal pelanggan yang terpengaruh. Berapa banyak mereka? Platform tidak menyebutkannya.

Di sisi positif, daftar apa yang tidak bocor sangat panjang. Tidak ada kata sandi, tidak ada kunci API, tidak ada data dompet, atau informasi pajak yang ditransfer melalui Brevo, jamin Paymium. Tidak ada email penipuan yang juga dikirim dari akunnya.

🔴 Paymium mengonfirmasi kebocoran data: platform kripto Prancis telah terpengaruh melalui penyedia Brevo.

Data pribadi pelanggan dapat diakses, tetapi tidak ada kata sandi, aset kripto, dompet, atau kunci API yang terpengaruh. https://t.co/W2GYY9XH9w pic.twitter.com/WXhm38ggeE --- Seb (@seblatombe) 22 September 2026

Brevo, Celah SSO Sebesar Pintu Gerbang

Semua bermula dari sebuah singkatan, SSO (Single Sign-On yang memungkinkan pengguna untuk masuk ke beberapa layanan dengan satu ID). Laporan insiden yang diterbitkan oleh Brevo menggambarkan skenario yang hampir memalukan. Penyerang membuka akunnya sendiri, menghubungkan penyedia identitas yang dia kendalikan, lalu mengundang pengguna yang sah. Dia kemudian masuk atas nama mereka. Dan akses yang diperoleh, yang tidak terisolasi dengan baik, tidak terbatas pada satu organisasi tetapi meluas ke semua organisasi yang dapat dijangkau oleh pengguna tersebut.

Ditemukan pada 10 September pukul 6:30 (UTC), celah tersebut ditutup dua jam kemudian. Dari 138 akun pelanggan yang dikunjungi, 43 telah melihat daftar kontak mereka diekspor dan enam digunakan untuk mengirim phishing. Paymium tidak menyebutkan dalam kelompok mana ia termasuk.

Dari salah satu dari enam akun ini, hampir 347.000 pelanggan Trezor menerima peringatan keamanan palsu, dengan sekitar 2.500 klik sebagai hasilnya.

Kebocoran di Paymium, File yang Menggiurkan Penipu

Platform yang diatur harus memverifikasi identitas pelanggan mereka (yang terkenal KYC). Mereka juga harus menghubungi mereka, dan sering kali mempercayakan tugas ini kepada subkontraktor. Tanggal lahir dan nomor ponsel Anda jadi tersimpan di pihak ketiga yang tidak pernah Anda pilih. Kombinasi ini sangat menarik bagi penipu. Mereka tahu bahwa Anda memiliki kripto, di negara mana Anda tinggal, bagaimana cara memanggil Anda, dan berapa usia Anda, cukup untuk membuat panggilan palsu dari "layanan keamanan Paymium" yang tampak sangat meyakinkan.

Kasus Ledger sebelumnya masih relevan. Pada bulan Desember 2020, informasi alamat lebih dari 270.000 pelanggan produsen tersebut muncul di forum peretas, diikuti oleh serangkaian ancaman. Di sini, tidak ada alamat pos. Namun, Prancis tahun 2026 bukan lagi tempat teoritis untuk penargetan fisik pemegang kripto.

Pelanggan Paymium, Tindakan yang Harus Diambil Setelah Kebocoran

Paymium mengarahkan pelanggannya ke cybermalveillance.gouv.fr, layanan publik bantuan gratis. Tambahkan beberapa tindakan pencegahan yang tidak memerlukan biaya.

• Jangan klik tautan apa pun yang diterima melalui email atau SMS atas nama Paymium, gunakan aplikasi atau ketik alamatnya sendiri
• Seorang "penasihat" yang menelepon Anda untuk mengamankan akun Anda adalah penipu, segera tutup telepon
• Jangan pernah berikan frase pemulihan Anda kepada siapa pun
• Aktifkan autentikasi dua faktor jika belum dilakukan

Antara 1 Januari dan pertengahan April 2026, kepolisian mencatat sudah ada 41 penculikan atau penahanan terkait kripto di wilayah tersebut. Saat ini tidak ada hubungan antara kasus-kasus ini dengan kebocoran data. Tanggal lahir, bagaimanapun, tidak dapat diubah seperti kata sandi.