La violazione dati di Trezor si è notevolmente ampliata dopo che il partner logistico ShipMonk ha scoperto che migliaia di record più vecchi di clienti erano rimasti sui propri sistemi. Il produttore di hardware wallet ha annunciato venerdì che altri 67.000 clienti statunitensi sono stati coinvolti, portando il totale noto a circa 80.689.

I record appena esposti riguardano ordini effettuati tra novembre 2019 e agosto 2021. includono nomi, indirizzi email, numeri di telefono, indirizzi di spedizione e numeri d'ordine. Trezor ha dichiarato che ShipMonk l'ha informata dei record aggiuntivi il 2 settembre. Il fatto stesso che i clienti esposti abbiano acquistato hardware wallet è di per sé delicato, poiché indica agli aggressori chi con ogni probabilità possiede criptovalute e quale dispositivo utilizza — informazioni che storicamente hanno reso gli acquirenti di hardware wallet un bersaglio ricorrente di campagne di phishing.

I record più vecchi sollevano interrogativi sulla conservazione dei dati

La divulgazione solleva interrogativi su come ShipMonk abbia gestito i dati dei clienti. Secondo Trezor, l'azienda aveva richiesto ripetutamente l'eliminazione dei record più vecchi e aveva ricevuto rassicurazioni scritte che le informazioni fossero state rimosse. L'azienda afferma ora, tuttavia, che quei record erano rimasti nei sistemi di ShipMonk.

La scoperta mette anche in discussione l'efficacia della politica di conservazione dei dati di 90 giorni di Trezor, inizialmente citata come motivo chiave per cui la violazione di agosto aveva colpito un numero inferiore di clienti. Il divario tra le rassicurazioni scritte sull'eliminazione e la rimozione effettiva dei dati evidenzia una sfida più ampia per le aziende che si affidano a fornitori terzi: gli impegni di minimizzazione dei dati sono difficili da verificare una volta che le informazioni lasciano i sistemi aziendali interni.

La divulgazione originale riguardava 13.689 clienti. Di questi, 11.742 hanno avuto esposti nomi, indirizzi email, numeri di telefono e indirizzi di spedizione. Altri 1.947 clienti hanno subito l'esposizione di informazioni più limitate.

I wallet restano al sicuro

Trezor ha dichiarato che i propri sistemi non sono stati compromessi. La violazione non ha inoltre esposto chiavi private o backup del wallet, il che significa che gli aggressori non hanno ottenuto accesso diretto alle criptovalute dei clienti attraverso l'incidente.

Ciononostante, le informazioni trapelate potrebbero comportare rischi significativi per i clienti colpiti. Gli aggressori potrebbero utilizzare nomi, indirizzi, dettagli degli ordini e informazioni di contatto per creare messaggi di phishing convincenti o impersonare Trezor e servizi finanziari.

Trezor ha invitato gli utenti colpiti a rimanere vigili rispetto a email, telefonate e lettere inattese. I clienti non devono mai fornire backup del wallet o inserire frasi di recupero su siti web, indipendentemente da chi apparentemente le richieda.

L'azienda ha dichiarato che tutti i clienti identificati di recente sono stati contattati direttamente via email. L'espansione della violazione illustra come i fornitori di logistica terzi possano creare rischi per la sicurezza anche quando i sistemi principali e i wallet di un'azienda di criptovalute restano protetti.