Утечка данных Trezor значительно расширилась после того, как его партнёр по доставке ShipMonk обнаружил, что тысячи старых записей клиентов оставались в его системах. Производитель аппаратных кошельков заявил в пятницу, что затронуты ещё 67 000 клиентов из США, что довело известное общее число пострадавших примерно до 80 689.

Вновь раскрытые записи касаются заказов, размещённых с ноября 2019 года по август 2021 года. Они включают имена, адреса электронной почты, номера телефонов, адреса доставки и номера заказов. Trezor сообщил, что ShipMonk уведомил его о дополнительных записях 2 сентября. Сам факт того, что пострадавшие клиенты покупали аппаратные кошельки, является чувствительной информацией, поскольку он указывает злоумышленникам, кто, вероятно, владеет криптовалютой и каким устройством пользуется — такие сведения исторически делали покупателей аппаратных кошельков постоянной целью фишинговых кампаний.

Старые записи поднимают вопросы о хранении данных

Раскрытие информации ставит под вопрос то, как ShipMonk обращался с данными клиентов. По словам Trezor, компания неоднократно требовала удаления старых записей и получала письменные подтверждения того, что информация была удалена. Однако теперь компания сообщает, что эти записи оставались в системах ShipMonk.

Это открытие также ставит под сомнение эффективность 90-дневной политики хранения данных Trezor, которая изначально называлась ключевой причиной того, что августовская утечка затронула меньшее число клиентов. Разрыв между письменными подтверждениями удаления и фактическим удалением данных подчёркивает более широкую проблему для компаний, полагающихся на сторонних подрядчиков: обязательства по минимизации данных трудно проверить, как только информация покидает собственные системы компании.

Первоначальное раскрытие касалось 13 689 клиентов. Из них у 11 742 были раскрыты имена, адреса электронной почты, номера телефонов и адреса доставки. Ещё у 1 947 клиентов была раскрыта более ограниченная информация.

Кошельки остаются в безопасности

Trezor заявил, что его собственные системы не были скомпрометированы. Утечка также не затронула приватные ключи или резервные копии кошельков, а значит, злоумышленники не получили прямого доступа к криптовалюте клиентов в результате этого инцидента.

Тем не менее, утечка информации может представлять серьёзные риски для пострадавших клиентов. Злоумышленники могут использовать имена, адреса, детали заказов и контактную информацию для создания убедительных фишинговых сообщений или выдачи себя за Trezor и финансовые организации.

Trezor призвал пострадавших пользователей сохранять осторожность в отношении неожиданных писем, звонков и писем по почте. Клиенты ни при каких обстоятельствах не должны передавать резервные копии кошельков или вводить восстановительные фразы на веб-сайтах, независимо от того, кто, по всей видимости, их запрашивает.

Компания сообщила, что все вновь выявленные клиенты были напрямую проинформированы по электронной почте. Расширяющаяся утечка демонстрирует, как сторонние логистические провайдеры могут создавать риски безопасности, даже когда основные системы и кошельки криптовалютной компании остаются защищёнными.