Wyciek danych z Trezora obejmuje już ponad 80 000 klientów — zapisy ShipMonk nie zostały usunięte
Najważniejsze informacje
- •Poszkodowanych zostało dodatkowych 67 000 klientów w USA, co podnosi łączną liczbę dotkniętych wyciekiem klientów Trezora do około 80 689.
- •Nowo ujawnione zapisy obejmują zamówienia od listopada 2019 do sierpnia 2021 i zawierają imiona i nazwiska, adresy e-mail, numery telefonów, adresy wysyłki oraz numery zamówień.
- •ShipMonk przekazał pisemne zapewnienia, że starsze zapisy zostały usunięte, jednak pozostały w jego systemach mimo wielokrotnych żądań usunięcia ze strony Trezora.
- •Własne systemy Trezora nie zostały naruszone, a w wycieku nie ujawniono kluczy prywatnych ani kopii zapasowych portfeli.
- •Poszkodowani klienci są narażeni na ryzyko phishingu i nigdy nie powinni przekazywać kopii zapasowych portfeli ani wprowadzać fraz odzyskiwania na stronach internetowych; wszyscy nowo zidentyfikowani klienci zostali skontaktowani e-mailem.
Wyciek danych z Trezora znacząco się rozszerzył po tym, jak partner logistyczny firmy, ShipMonk, wykrył, że tysiące starszych zapisów klientów pozostało w jego systemach. Producent portfeli sprzętowych ogłosił w piątek, że poszkodowanych zostało dodatkowych 67 000 klientów w USA, co podnosi znaną łączną liczbę do około 80 689.
Nowo ujawnione zapisy dotyczą zamówień składanych od listopada 2019 do sierpnia 2021. Obejmują imiona i nazwiska, adresy e-mail, numery telefonów, adresy wysyłki oraz numery zamówień. Trezor podał, że ShipMonk poinformował go o dodatkowych zapisach 2 września. Sam fakt, że poszkodowani klienci kupowali portfele sprzętowe, jest wrażliwy, ponieważ informuje atakujących, kto prawdopodobnie posiada kryptowaluty i jakiego urządzenia używa — informacje te historycznie czyniły z kupujących portfele sprzętowe powracający cel kampanii phishingowych.
Starsze zapisy rodzą pytania o retencję danych
Ujawnienie tych informacji budzi pytania o to, jak ShipMonk traktował dane klientów. Zgodnie z oświadczeniem Trezora, firma wielokrotnie żądała usunięcia starszych zapisów i otrzymywała pisemne zapewnienia, że informacje zostały usunięte. Firma mówi jednak teraz, że zapisy te pozostały w systemach ShipMonka.
Odkrycie to podważa również skuteczność 90-dniowej polityki retencji danych Trezora, którą początkowo wskazywano jako kluczowy powód, dla którego sierpniowy wyciek objął mniejszą liczbę klientów. Rozbieżność między pisemnymi zapewnieniami o usunięciu a faktycznym wymazaniem danych uwidacznia szerszy problem dla firm korzystających z zewnętrznych dostawców: zobowiązania do minimalizacji danych trudno zweryfikować, gdy informacje opuszczą systemy danej firmy.
Pierwotne ujawnienie objęło 13 689 klientów. Z tej liczby u 11 742 osób eksponowane były imiona i nazwiska, adresy e-mail, numery telefonów i adresy wysyłki. U kolejnych 1 947 klientów ujawniono bardziej ograniczone informacje.
Portfele pozostają bezpieczne
Trezor oświadczył, że jego własne systemy nie zostały naruszone. Wyciek nie obejmował również kluczy prywatnych ani kopii zapasowych portfeli, co oznacza, że atakujący nie uzyskali bezpośredniego dostępu do kryptowalut klientów w wyniku tego incydentu.
Niemniej jednak ujawnione informacje mogą stwarzać poważne ryzyko dla poszkodowanych klientów. Atakujący mogą wykorzystać imiona i nazwiska, adresy, szczegóły zamówień i dane kontaktowe do tworzenia przekonujących wiadomości phishingowych lub podszywania się pod Trezora i usługi finansowe.
Trezor wezwał poszkodowanych użytkowników do ostrożności wobec nieoczekiwanych e-maili, telefonów i listów. Klienci nigdy nie powinni przekazywać kopii zapasowych portfeli ani wprowadzać fraz odzyskiwania na stronach internetowych, niezależnie od tego, kto pozornie o nie prosi.
Firma podała, że wszyscy nowo zidentyfikowani klienci zostali skontaktowani bezpośrednio e-mailem. Rozszerzający się wyciek pokazuje, jak zewnętrzni dostawcy usług logistycznych mogą stwarzać ryzyko bezpieczeństwa nawet wtedy, gdy główne systemy i portfele firmy kryptowalutowej pozostają chronione.
