Trezor-Datenschutzverstoß weitet sich auf über 80.000 Kunden aus, da ShipMonk-Daten nicht gelöscht wurden
Wichtige Erkenntnisse
- •Zusätzliche 67.000 US-Kunden sind betroffen, wodurch sich die Gesamtzahl der betroffenen Trezor-Kunden auf etwa 80.689 beläuft.
- •Die neu offengelegten Datensätze betreffen Bestellungen von November 2019 bis August 2021 und umfassen Namen, E-Mail-Adressen, Telefonnummern, Versandadressen und Bestellnummern.
- •ShipMonk hatte schriftlich zugesichert, dass ältere Datensätze gelöscht wurden, doch sie blieben trotz wiederholter Löschanforderungen von Trezor auf seinen Systemen erhalten.
- •Die eigenen Systeme von Trezor wurden nicht kompromittiert, und es wurden keine privaten Schlüssel oder Wallet-Backups offengelegt.
- •Betroffene Kunden sind von Phishing-Risiken bedroht und sollten niemals Wallet-Backups herausgeben oder Wiederherstellungsphrasen auf Websites eingeben; alle neu identifizierten Kunden wurden per E-Mail kontaktiert.
Der Datenschutzverstoß bei Trezor hat sich deutlich ausgeweitet, nachdem der Logistikpartner ShipMonk feststellte, dass Tausende ältere Kundendatensätze weiterhin auf seinen Systemen vorhanden waren. Der Hersteller von Hardware-Wallets kündigte am Freitag an, dass zusätzliche 67.000 US-Kunden betroffen sind, womit sich die bekannte Gesamtzahl auf rund 80.689 beläuft.
Die neu offengelegten Datensätze beziehen sich auf Bestellungen, die zwischen November 2019 und August 2021 aufgegeben wurden. Sie umfassen Namen, E-Mail-Adressen, Telefonnummern, Versandadressen und Bestellnummern. Trezor erklärte, ShipMonk habe das Unternehmen am 2. September über die zusätzlichen Datensätze informiert. Dass die betroffenen Kunden Hardware-Wallets gekauft haben, ist selbst sensibel, da es Angreifern genau verrät, wer wahrscheinlich Kryptowährungen besitzt und welches Gerät verwendet wird – Informationen, die Käufer von Hardware-Wallets historisch zu einem wiederkehrenden Ziel von Phishing-Kampagnen gemacht haben.
Ältere Datensätze werfen Fragen zur Datenaufbewahrung auf
Die Offenlegung wirft Fragen zum Umgang von ShipMonk mit Kundendaten auf. Nach Angaben von Trezor forderte das Unternehmen wiederholt die Löschung der älteren Datensätze und erhielt schriftliche Zusicherungen, dass die Informationen entfernt worden waren. Das Unternehmen erklärt nun jedoch, dass diese Datensätze weiterhin in den Systemen von ShipMonk vorhanden waren.
Die Entdeckung stellt auch die Wirksamkeit der 90-tägigen Datenaufbewahrungsrichtlinie von Trezor in Frage, die zunächst als Hauptgrund dafür angeführt wurde, dass der Verstoß im August eine kleinere Anzahl von Kunden betraf. Die Lücke zwischen schriftlichen Löschungszusicherungen und der tatsächlichen Datenentfernung verdeutlicht eine breitere Herausforderung für Unternehmen, die auf Drittanbieter angewiesen sind: Zusagen zur Datenminimierung lassen sich nur schwer überprüfen, sobald Informationen die eigenen Systeme eines Unternehmens verlassen.
Die ursprüngliche Offenlegung betraf 13.689 Kunden. Davon hatten 11.742 offengelegte Namen, E-Mail-Adressen, Telefonnummern und Versandadressen. Bei weiteren 1.947 Kunden wurden begrenzte Informationen offengelegt.
Wallets bleiben sicher
Trezor erklärte, dass die eigenen Systeme nicht kompromittiert wurden. Durch den Verstoß wurden auch keine privaten Schlüssel oder Wallet-Backups offengelegt, was bedeutet, dass Angreifer über den Vorfall keinen direkten Zugriff auf die Kryptowährungen der Kunden erlangten.
Dennoch könnten die geleakten Informationen erhebliche Risiken für betroffene Kunden darstellen. Angreifer könnten Namen, Adressen, Bestelldaten und Kontaktinformationen nutzen, um überzeugende Phishing-Nachrichten zu erstellen oder sich als Trezor und Finanzdienstleister auszugeben.
Trezor hat betroffene Nutzer aufgerufen, bei unerwarteten E-Mails, Anrufen und Briefen wachsam zu bleiben. Kunden sollten niemals Wallet-Backups herausgeben oder Wiederherstellungsphrasen auf Websites eingeben, unabhängig davon, wer dies offenbar anfordert.
Das Unternehmen erklärte, dass alle neu identifizierten Kunden direkt per E-Mail kontaktiert wurden. Der sich ausweitende Verstoß zeigt, wie Logistikdienstleister Sicherheitsrisiken schaffen können, selbst wenn die Kernsysteme und Wallets eines Kryptowährungsunternehmens geschützt bleiben.
