Trezor a confirmé jeudi qu'une violation chez l'un de ses partenaires d'expédition avait exposé des données personnelles de 13 689 clients. Noms, adresses, numéros de téléphone et adresses e-mail ont été pris.
Aucune crypto n'a été déplacée. Trezor affirme que ses propres systèmes, ses appareils et les sauvegardes de portefeuilles clients n'ont jamais été touchés. Les dommages concernent un fournisseur externe.
Ce que la violation de données Trezor a exposé
ShipMonk stocke et expédie les commandes Trezor. Le 10 août, il a informé Trezor qu'un intrus avait accédé à des systèmes contenant des dossiers clients.
L'exposition se divise en deux. Environ 11 742 acheteurs ont tout perdu, c'est-à-dire nom, e-mail, numéro de téléphone et adresse complète de livraison. Un autre 1 947 n'ont perdu qu'un nom, une ville et un e-mail.
Le timing décide qui est touché. La fuite concerne les commandes livrées entre le 10 mai et le 8 août de cette année aux États-Unis, au Royaume-Uni, en Suède, en Colombie, au Brésil, en Italie et au Portugal.
Les acheteurs plus anciens ont été épargnés par une règle. Trezor oblige ses partenaires à supprimer ou anonymiser les données de commande 90 jours après la livraison, donc les envois antérieurs avaient déjà été effacés.
Il y a un test simple. Les clients concernés ont reçu un e-mail de [email protected]. Pas d'e-mail signifie pas d'exposition.
Un détail fait mal. ShipMonk détient la certification SOC 2 Type II, une norme de sécurité audité, et a été violé quand même.
Pourquoi une adresse divulguée est plus problématique qu'un e-mail divulgué
Un email à lui seul n'achète pas grand-chose à un escroc. Un nom, une adresse et un numéro de téléphone ensemble en font beaucoup plus. Ils désignent une personne spécifique à une porte spécifique en tant qu'acheteur de crypto.
Trezor a exposé le mode d'emploi. Les escrocs peuvent envoyer de faux emails, passer de faux appels, envoyer des lettres frauduleuses, ou se faire passer pour une banque, un échange, ou Trezor lui-même.
Ce schéma a une histoire. Ledger a perdu environ 1 million d'emails de clients en juillet 2020. Environ 9 500 de ces acheteurs avaient également des détails postaux complets exposés, et de fausses lettres de phrase de récupération ont atteint leurs maisons des années plus tard.
Maintenant, comparez l'échelle. La violation de Trezor a exposé des adresses complètes pour 11 742 personnes, plus que les 9 500 acheteurs de Ledger touchés en 2020.
Le PDG de Ledger, Pascal Gauthier, a répondu à la même peur en 2020, et la logique tient toujours.
« il n'y a aucun moyen d'établir une corrélation entre les données qui ont fuité et les fonds sur votre portefeuille », lit-on dans un extrait de l'annonce de Ledger.
Les attaquants avaient déjà la marque en vue. Une récente annonce de phishing Trezor est apparue quelques jours avant cette divulgation. Séparément, des escroqueries par faux appels de support ont drainé des millions des détenteurs cette année.
Les vendeurs continuent de prouver qu'ils sont le maillon faible. La violation du processeur de paiement de Ledger a fuité des données de commande des clients en janvier.
Ce que les propriétaires de Trezor devraient faire maintenant
Le conseil est court et fonctionne. Traitez l'urgence comme un signal d'alarme. Vérifiez tout ce qui semble étrange par rapport aux canaux officiels de Trezor. Ne tapez jamais une sauvegarde de portefeuille sur un site web.
« Ne jamais entrer la sauvegarde de votre portefeuille sur un site web ou la partager avec qui que ce soit », a écrit Trezor dans un blog.
Deux habitudes réduisent l'exposition future. Commandez avec un e-mail qui n'est pas lié à votre vrai nom et payez en crypto lorsque c'est possible.
Trezor a également promis une option de Livraison Anonyme basée sur le retrait en casier et un emballage neutre. Elle cible l'UE d'ici septembre et les États-Unis d'ici la fin de 2026.
Trezor affirme qu'il s'agit de la première violation depuis 2013 à exposer les numéros de téléphone et les adresses de livraison des clients. Le matériel tient toujours. Le point faible n'a jamais été l'appareil. C'était la boîte dans laquelle il est arrivé.
Source : BeInCrypto
