Il numero di clienti Trezor colpiti da una violazione presso il fornitore di logistica ShipMonk è salito a circa 81.000 dopo che un’indagine ha scoperto decine di migliaia di vecchi record clienti che avrebbero dovuto essere cancellati.
Trezor ha inizialmente reso noto l’incidente il 13 agosto, riportando che quasi 14.000 clienti erano stati coinvolti. Il produttore di wallet hardware ha ora rivelato che ShipMonk lo ha informato il 2 settembre che erano state esposte anche informazioni appartenenti ad altri 67.000 clienti negli Stati Uniti.
Il gruppo appena identificato è composto da persone che hanno effettuato ordini Trezor tra novembre 2019 e agosto 2021. I registri esposti includono nomi, indirizzi email, numeri di telefono, indirizzi di spedizione e numeri d’ordine.
La scoperta è particolarmente significativa perché Trezor afferma che queste informazioni più vecchie non dovevano rimanere nei sistemi di ShipMonk. L’azienda richiede ai partner di evasione di cancellare o anonimizzare le informazioni sugli ordini 90 giorni dopo la consegna.
Secondo Trezor, ha ripetutamente cercato conferme che ShipMonk avesse rimosso le informazioni e ricevuto rassicurazioni scritte che la cancellazione era avvenuta. L’ultima indagine ha mostrato che i documenti erano invece rimasti conservati dal fornitore di logistica.
La divulgazione originale di agosto riguardava ordini più recenti. Trezor ha detto che 11.742 clienti hanno visto esposti nomi, indirizzi email, numeri di telefono e indirizzi di spedizione, mentre altre 1.947 persone hanno visto compromesse un insieme più ristretto di informazioni, composto da nomi, città e indirizzi email.
L’infrastruttura di Trezor non è stata violata e l’incidente non influisce sulla sicurezza dei suoi wallet hardware né della criptovaluta archiviata tramite essi. Tuttavia, le informazioni personali ottenute da ShipMonk potrebbero fornire materiale utile per phishing mirati e ingegneria sociale.
Gli attaccanti potrebbero utilizzare nomi, informazioni di contatto, dettagli di acquisto e indirizzi per rendere più convincenti le comunicazioni che si spacciano per Trezor. I clienti sono quindi stati avvertiti di diffidare di email, telefonate e lettere fisiche impreviste. L’esposizione degli indirizzi di casa potrebbe anche creare ulteriori problemi di sicurezza fisica per i possessori di criptovalute.
Trezor ha contattato i clienti inclusi nella divulgazione ampliata. L’azienda continua a sottolineare che gli utenti non dovrebbero mai divulgare il backup o il seed di recupero del wallet in risposta a comunicazioni non richieste.