La fuite de données chez Trezor s'est considérablement élargie après que son partenaire logistique, ShipMonk, a découvert que des milliers d'anciens enregistrements de clients étaient restés sur ses systèmes. Le fabricant de portefeuilles matériels a annoncé vendredi que 67 000 clients américains supplémentaires étaient concernés, portant le total connu à environ 80 689.

Les enregistrements nouvellement exposés concernent des commandes passées entre novembre 2019 et août 2021. Ils comprennent des noms, des adresses e-mail, des numéros de téléphone, des adresses de livraison et des numéros de commande. Trezor a indiqué que ShipMonk l'a informé de ces enregistrements supplémentaires le 2 septembre. Le fait que les clients exposés aient acheté des portefeuilles matériels constitue en soi une information sensible : cela révèle aux attaquants précisément qui est susceptible de détenir des cryptomonnaies et quel appareil est utilisé — une information qui a historiquement fait des acheteurs de portefeuilles matériels une cible récurrente de campagnes d'hameçonnage.

Les anciens enregistrements soulèvent des questions sur la conservation des données

Cette divulgation soulève des interrogations sur la manière dont ShipMonk a traité les données clients. Selon Trezor, l'entreprise a demandé à plusieurs reprises la suppression des anciens enregistrements et a reçu des assurances écrites confirmant que ces informations avaient été effacées. Toutefois, la société affirme désormais que ces enregistrements sont restés dans les systèmes de ShipMonk.

Cette découverte remet également en cause l'efficacité de la politique de conservation des données de 90 jours de Trezor, initialement présentée comme une raison clé pour laquelle la fuite d'août avait touché un nombre de clients plus restreint. L'écart entre les assurances écrites de suppression et la suppression réelle des données met en lumière un défi plus large pour les entreprises dépendant de prestataires tiers : les engagements de minimisation des données sont difficiles à vérifier une fois que l'information quitte les systèmes de l'entreprise.

La divulgation initiale concernait 13 689 clients. Parmi eux, 11 742 ont vu leurs noms, adresses e-mail, numéros de téléphone et adresses de livraison exposés. 1 947 autres clients ont vu un ensemble d'informations plus limité exposé.

Les portefeuilles restent sécurisés

Trezor a déclaré que ses propres systèmes n'avaient pas été compromis. La fuite n'a pas non plus exposé de clés privées ni de sauvegardes de portefeuille, ce qui signifie que les attaquants n'ont pas obtenu d'accès direct aux cryptomonnaies des clients à la suite de cet incident.

Néanmoins, les informations divulguées pourraient présenter des risques importants pour les clients concernés. Des attaquants pourraient utiliser les noms, adresses, détails de commande et coordonnées pour élaborer des messages d'hameçonnage convaincants ou se faire passer pour Trezor et des services financiers.

Trezor a invité les utilisateurs concernés à rester prudents face aux e-mails, appels et courriers inattendus. Les clients ne doivent jamais fournir de sauvegardes de portefeuille ni saisir de phrases de récupération sur des sites web, quel que soit l'expéditeur apparent de la demande.

L'entreprise a indiqué que tous les clients nouvellement identifiés ont été contactés directement par e-mail. L'ampleur croissante de cette fuite illustre comment des prestataires logistiques tiers peuvent créer des risques de sécurité, même lorsque les systèmes centraux et les portefeuilles d'une entreprise de cryptomonnaies restent protégés.