Filtración de datos de Trezor se expande a 67.000 clientes más en Estados Unidos
Puntos clave
- •La filtración de datos de Trezor ahora afecta a 67.000 clientes adicionales en Estados Unidos que realizaron pedidos entre noviembre de 2019 y agosto de 2021, por encima de la estimación inicial de 14.000 usuarios.
- •La información expuesta incluye nombres, correos electrónicos, números de teléfono, direcciones de envío y detalles de pedidos, lo que Trezor atribuye a que el proveedor logístico ShipMonk no eliminó los datos pese a garantías por escrito.
- •Los sistemas propios de Trezor no fueron comprometidos, pero los atacantes podrían usar los datos expuestos para hacerse pasar por la empresa en intentos de phishing destinados a robar las frases semilla de los usuarios.
- •Las estafas de phishing e ingeniería social representaron 306 millones de dólares de los 482 millones de dólares en pérdidas de la industria cripto en el primer trimestre, según la firma de seguridad blockchain Hacken.
- •Los proveedores externos, como empresas de envío y herramientas de atención al cliente, se han convertido repetidamente en puntos débiles de la seguridad de datos de las empresas cripto.
Las consecuencias de la filtración de datos del proveedor de carteras de hardware Trezor resultaron ser mayores de lo inicialmente estimado y ahora se extienden a 67.000 clientes adicionales en Estados Unidos.
En una publicación de X del viernes, Trezor indicó que la filtración podría poner en peligro a más usuarios estadounidenses que realizaron pedidos entre noviembre de 2019 y agosto de 2021, citando la última actualización de su proveedor logístico, ShipMonk.
Los clientes afectados vieron expuestos todos sus datos, incluidos nombres, correos electrónicos, números de teléfono, direcciones de envío y detalles de los pedidos. Trezor culpó al proveedor logístico por no haber eliminado los datos de esos pedidos, a pesar de haber recibido garantías por escrito de ShipMonk.
Aunque los sistemas propios de Trezor no fueron comprometidos, la filtración podría amenazar los activos digitales de los 67.000 clientes. Los atacantes podrían usar la información expuesta para lanzar ataques de phishing haciéndose pasar por Trezor en un intento por robar las frases semilla de los usuarios, que controlan sus carteras. Las carteras de hardware como las de Trezor están diseñadas precisamente para mantener las claves privadas sin conexión y protegerse contra compromisos remotos, pero esa protección no cubre a un usuario que entrega voluntariamente su frase de recuperación a alguien que se hace pasar por el fabricante —por eso las filtraciones de datos de este tipo son especialmente valiosas para los estafadores de ingeniería social, quienes pueden elaborar mensajes convincentes y personalizados que hacen referencia a detalles reales de pedidos.
En agosto, Trezor había estimado inicialmente que solo 14.000 usuarios habían tenido sus datos expuestos a través del proveedor logístico. Por separado, Trezor informó en enero de 2024 que unos 66.000 usuarios estaban en riesgo de ataques de phishing si habían contactado al equipo de soporte de la empresa desde diciembre de 2021. El episodio no es exclusivo de Trezor: proveedores externos como empresas de envío, plataformas de marketing y herramientas de atención al cliente se han convertido repetidamente en el eslabón débil de la seguridad de datos de las empresas cripto, ya que las compañías pueden controlar su propia infraestructura pero dependen de garantías contractuales de socios externos.
Los ataques de phishing y la ingeniería social no requieren explotar vulnerabilidades de código. Aun así, estas estafas basadas en suplantación de identidad generaron la mayoría de las pérdidas de la industria cripto en el primer trimestre del año, con 306 millones de dólares de los 482 millones de dólares perdidos en total, según la empresa de seguridad blockchain Hacken.
En julio, un inversionista cripto perdió casi 1 millón de dólares tras firmar una transacción maliciosa de aprobación de token por phishing en Ethereum.
