En bref

  • Trezor a déclaré vendredi que 67 000 autres clients américains étaient concernés par la violation de données chez ShipMonk qu'elle avait divulguée le mois dernier.
  • Les enregistrements concernent les commandes passées entre novembre 2019 et août 2021, et incluent les noms, numéros de téléphone et adresses personnelles.
  • Trezor affirme avoir reçu à plusieurs reprises une confirmation écrite de ShipMonk que les données avaient été supprimées.

67 000 autres clients de Trezor ont vu leurs noms, adresses e-mail, numéros de téléphone, adresses personnelles et numéros de commande exposés lors de la violation chez le fournisseur d'expédition ShipMonk, a déclaré le fabricant de portefeuilles matériels vendredi.

Tous sont aux États-Unis et ont passé des commandes entre novembre 2019 et août 2021, ce qui rend certains des enregistrements exposés vieux de près de sept ans. ShipMonk a transmis cette information il y a deux jours.

Trezor a demandé à plusieurs reprises et reçu une confirmation écrite que ces enregistrements avaient été supprimés, conformément à son contrat et à sa politique de données, et a déclaré avoir été déçu d'apprendre que ce n'était pas le cas.

Lorsqu'elle adivulgué la violation en août, l'entreprise a attribué sa portée limitée à une politique de suppression de 90 jours qu'elle aurait négociée dans les conditions de ses partenaires logistiques. Cette affirmation semble maintenant considérablement plus faible. Le nombre est passé de 13 689 à environ 80 700.

Les propriétaires de portefeuilles font face à de multiples menaces

Les systèmes de Trezor n'ont pas été compromis, et les appareils, les clés privées et les sauvegardes de portefeuille ne sont pas touchés. Le danger est que les enregistrements identifient des propriétaires confirmés de portefeuilles matériels à des portes spécifiques. Outre les faux e-mails, appels et lettres, Trezor a averti les clients concernés des risques pour leur sécurité physique et a répété qu'une sauvegarde de portefeuille ne devrait jamais être partagée ou saisie sur un site Web.

Les propriétaires de Trezor et de son concurrent Ledger, un autre portefeuille matériel, recevaient déjàfausses lettres en février, imprimées avec des hologrammes, des codes QR et de fausses signatures de dirigeants, leur demandant d'activer une vérification de sécurité fictive ou de perdre l'accès à leurs portefeuilles.

À l'époque, le consultant en cybercriminalité David Sehyeon Baek avait déclaré à Decrypt qu'une lettre portant un nom et une adresse personnelle signale « nous pouvons vous localiser », et que les données volées restent utiles pendant des années car les gens déménagent rarement ou changent rarement de numéro.

Myriad: Où va le prix de l'Ethereum ? Cliquez pour faire votre prédiction.
Myriad : Où va le prix de l'Ethereum ? Cliquez pour faire votre prédiction.

L'intrusion remonte à unevulnérabilité critique d'injection SQL dans l'outil d'analyse Metabase, divulguée le 6 août, qui a permis à des attaquants non authentifiés de voler les identifiants des bases de données connectées. Le fabricant d'ordinateurs portablesFramework et le créateur de formulaires Tally ont été pris dans la même vague. ShipMonk asoi-disant reçu des e-mails d'extorsion attribués à ShinyHunters, bien que cette attribution reste non confirmée.

Trezor a déclaré qu'il travaillait à expédier la livraison anonyme dès que possible, une option utilisant le retrait en casier, un emballage neutre et des coordonnées d'expéditeur génériques afin que les acheteurs n'aient pas à fournir d'adresse personnelle.