Het datalek bij Trezor is aanzienlijk groter geworden nadat verzendpartner ShipMonk ontdekte dat duizenden oudere klantgegevens op haar systemen waren achtergebleven. De fabrikant van hardware wallets maakte vrijdag bekend dat er 67.000 Amerikaanse klanten extra zijn getroffen, waarmee het bekende totaal op ongeveer 80.689 uitkomt.

De nieuw blootgestelde gegevens betreffen bestellingen die tussen november 2019 en augustus 2021 zijn geplaatst. Ze omvatten namen, e-mailadressen, telefoonnummers, verzendadressen en bestelnummers. Trezor zei dat ShipMonk het bedrijf op 2 september op de hoogte bracht van de aanvullende gegevens. Dat de getroffen klanten hardware wallets hebben gekocht, is op zichzelf al gevoelige informatie: het vertelt aanvallers precies wie waarschijnlijk cryptocurrency bezit en welk apparaat ze gebruiken — informatie waarmee kopers van hardware wallets historisch gezien een terugkerend doelwit van phishingcampagnes vormen.

Oudere gegevens roepen vragen op over gegevensbewaring

De onthulling roept vragen op over hoe ShipMonk met klantgegevens is omgegaan. Volgens Trezor vroeg het bedrijf herhaaldelijk om verwijdering van de oudere gegevens en ontving het schriftelijke bevestigingen dat de informatie was verwijderd. Het bedrijf zegt nu echter dat die gegevens op de systemen van ShipMonk zijn achtergebleven.

De ontdekking zet ook vraagtekens bij de effectiviteit van Trezors bewaarbeleid van 90 dagen, dat aanvankelijk werd aangehaald als een belangrijke reden waarom het lek van augustus een kleiner aantal klanten trof. De kloof tussen schriftelijke verwijderingsgaranties en de daadwerkelijke verwijdering van gegevens onderstreept een bredere uitdaging voor bedrijven die van externe leveranciers afhankelijk zijn: toezeggingen over dataminimalisatie zijn moeilijk te verifiëren zodra informatie de eigen systemen van een bedrijf verlaat.

De oorspronkelijke melding betrof 13.689 klanten. Daarvan hadden 11.742 klanten namen, e-mailadressen, telefoonnummers en verzendadressen blootgesteld. Bij nog eens 1.947 klanten werd beperktere informatie blootgesteld.

Portemonnees blijven veilig

Trezor stelde dat haar eigen systemen niet zijn gehackt. Bij het lek zijn ook geen privésleutels of portemonnee-backups blootgesteld, wat betekent dat aanvallers via dit incident geen directe toegang kregen tot de cryptocurrency van klanten.

Niettemin kan de gelekte informatie aanzienlijke risico's opleveren voor getroffen klanten. Aanvallers kunnen namen, adressen, bestelgegevens en contactinformatie gebruiken om overtuigende phishingberichten op te stellen of zich voordoen als Trezor en financiële dienstverleners.

Trezor heeft getroffen gebruikers opgeroepen waakzaam te blijven bij onverwachte e-mails, telefoontjes en brieven. Klanten moeten nooit portemonnee-backups verstrekken of herstelzinnen op websites invoeren, ongeacht wie er om lijkt te vragen.

Het bedrijf zei dat alle nieuw geïdentificeerde klanten direct per e-mail zijn benaderd. Het groeiende datalek laat zien hoe externe logistiekpartners beveiligingsrisico's kunnen creëren, zelfs wanneer de kernsystemen en portemonnees van een cryptocurrencybedrijf beschermd blijven.