Brevo被黑：在Trezor之后，Paymium客户数据泄露

新的附带受害者。 在Trezor的假邮件事件之后，Paymium的客户发现他们的身份信息可能已经泄露。该法国平台于9月22日通知了其用户。其电子邮件服务提供商Brevo早在9月初就已成为针对Trezor、BitBox和CoinTracking的网络钓鱼活动的发起平台。没有资金被转移。但在绑架潮中，已识别的加密货币持有者文件价值不菲。

关键点

• Paymium于9月22日警告其客户，电子邮件路由器发生了未授权访问
• 身份、出生日期、电话和居住国家均在泄露数据中
• 根据平台，未泄露密码、API密钥或资金访问权限
• 在Brevo，138个客户账户因单点登录漏洞被打开

Paymium数据泄露，12天后账单到来

消息在事件发生12天后进入收件箱。Paymium在其中解释，Brevo作为其部分邮件发送工具，遭遇了入侵。根据FrenchBreaches转发的通知，入侵者能够查看相关客户的电子邮件地址、账户标识、姓名、姓氏、出生日期、电话号码和居住国家。他们有多少人？平台没有透露。

令人放心的是，未泄露的信息清单很长。Paymium保证，没有密码、API密钥、钱包数据或税务信息通过Brevo传输。也没有任何欺诈邮件从其账户发送。

🔴 Paymium确认数据泄露：该法国加密货币平台通过其服务提供商Brevo受到影响。
客户的个人数据可能已被查看，但没有密码、加密资产、钱包或API密钥受到影响。 https://t.co/W2GYY9XH9w pic.twitter.com/WXhm38ggeE --- Seb (@seblatombe) 2026年9月22日

Brevo，像大门一样的SSO漏洞

一切都始于一个缩写，SSO（单点登录，允许使用一个标识登录多个服务）。Brevo发布的事故报告描述了一个几乎令人恼火的场景。攻击者打开自己的账户，连接一个他控制的身份提供者，然后邀请合法用户。接着，他代替他们登录。获得的访问权限没有被严格限制，不仅限于一个组织，而是扩展到这些用户可以访问的所有组织。

该漏洞于9月10日6:30（UTC）被发现，两个小时后被修补。在138个被访问的客户账户中，43个的联系人列表被导出，六个账户被用于发送网络钓鱼。Paymium没有说明它属于哪个组。

正是通过这六个账户，近347,000名Trezor订阅者收到了虚假的安全警报，约有2,500次点击。

Paymium泄露，令诈骗者垂涎的文件

受监管的平台必须验证客户的身份（著名的KYC）。他们还必须与客户沟通，通常将这项工作委托给承包商。因此，您的出生日期和手机号码就存放在一个您从未选择的第三方那里。这个组合对诈骗者来说无疑是个美味的佳肴。他们知道您持有加密货币，您居住在哪个国家，如何称呼您以及您的年龄，足以伪造一个“Paymium安全服务”的可信电话。

Ledger的前车之鉴依然历历在目。2020年12月，超过270,000名客户的邮寄地址在黑客论坛上曝光，随后是一系列威胁。在这里，没有邮寄地址。但2026年的法国已经不再是加密货币持有者的理论目标。

Paymium客户，泄露后应采取的反应

Paymium将客户引导至cybermalveillance.gouv.fr，这是一个免费的公共援助机制。再加上一些不花钱的反应。

• 不要点击任何以Paymium名义发送的电子邮件或短信中的链接，使用应用程序或自己输入地址
• 来电的“顾问”如果声称要保护您的账户，那就是骗子，请挂断
• 永远不要向任何人透露您的恢复短语
• 如果尚未启用，请激活双重身份验证

在2026年1月1日至4月中旬之间，司法警察已记录了41起与加密货币相关的绑架或拘禁事件。目前尚无证据将这些案件与数据泄露联系起来。出生日期可不像密码那样轻易更改。