Beberapa alamat email pengguna MetaMask mungkin telah terekspos ke pihak jahat karena insiden keamanan siber yang baru ditemukan. Menurut perusahaan induk ConsenSys, kejadian tersebut diinginkan pengguna yang mengirimkan tiket dukungan pelanggan ke MetaMask antara 1 Agustus 2021 dan 10 Februari 2023.
Menurut posting blog 14 April, aktor yang tidak berwenang memperoleh akses ke sistem komputer pihak ketiga yang digunakan untuk memproses permintaan layanan pelanggan, memungkinkan mereka untuk melihat tiket dukungan pelanggan yang dikirimkan oleh pengguna MetaMask.
Tiket ini tidak meminta informasi apa pun selain yang diperlukan untuk membantu pengguna, termasuk alamat email untuk memfasilitasi tanggapan. Namun, mereka menyertakan “bidang teks bebas”, yang mungkin digunakan beberapa pengguna untuk mengirimkan informasi pengenal pribadi. Ini dapat mencakup “informasi ekonomi atau keuangan, nama, nama belakang, tanggal lahir, nomor telepon, dan alamat surat,” kata postingan itu.
Consensys menekankan bahwa itu tidak meminta informasi identitas pribadi dalam percakapan pelanggan, tetapi beberapa mungkin tetap memberikannya.
Perusahaan memperkirakan bahwa pelanggaran tersebut mungkin telah memengaruhi hingga 7.000 pengguna MetaMask yang mengirimkan tiket dukungan pelanggan.
Menanggapi insiden ini, vendor dompet perangkat keras Keystone memperingatkan pengguna MetaMask bahwa beberapa mungkin menerima lebih banyak email phishing karena insiden tersebut karena penyerang dapat menggunakan basis data email yang dirayapi ini untuk mencari calon korban.
Penyedia layanan pihak ketiga yang menyediakan layanan dukungan pelanggan untuk ConsenSys menjadi sasaran insiden keamanan siber
⚠️ Waspadai potensi peningkatan email phishing di masa mendatanghttps://t.co/HswtDiK5EY
— Batu Kunci | Dompet Perangkat Keras (@DompetKeystone) 14 April 2023
Phishing adalah penipuan yang menipu pengguna memberikan informasi sensitif kepada seorang penyerang. Ini sering dilakukan dengan mengirimkan email kepada korban yang tampaknya berasal dari pihak tepercaya atau seseorang yang dikenal korban.
Terkait: MetaMask meluncurkan fitur pembelian fiat cryptocurrency baru
Consensys mengatakan telah mengambil langkah-langkah untuk menghilangkan akses tidak sah di masa mendatang. Akibatnya, tiket yang diserahkan setelah 10 Februari tidak akan terpengaruh oleh kejadian tersebut. Mereka juga menghubungi Komisi Perlindungan Data Irlandia dan Kantor Komisi Informasi Inggris untuk melaporkan pelanggaran tersebut. Selain itu, penyedia dukungan pelanggan pihak ketiga perusahaan bekerja sama dengan tim keamanan siber dan forensik untuk melakukan penyelidikan yang lebih mendetail atas insiden tersebut.
MetaMask dikritik oleh pendukung privasi pada akhir 2022, ketika terungkap bahwa terkadang memang demikian Alamat IP pengguna terdaftar. Namun, itu memperbarui aplikasinya pada bulan Maret untuk memberi pengguna lebih banyak kontrol atas vendor mana yang mungkin mendapatkan informasi ini.