O número de clientes da Trezor afetados por uma violação na fornecedora de logística ShipMonk subiu para aproximadamente 81.000 após uma investigação revelar dezenas de milhares de registros antigos de clientes que deveriam ter sido apagados.
Trezor inicialmente divulgou o incidente em 13 de agosto, relatando que quase 14.000 clientes foram afetados. A fabricante de carteiras de hardware agora revelou que a ShipMonk informou em 2 de setembro que informações pertencentes a outros 67.000 clientes nos Estados Unidos também foram expostas.
O grupo recém-identificado é composto por pessoas que fizeram pedidos da Trezor entre novembro de 2019 e agosto de 2021. Registros expostos incluem nomes, endereços de e-mail, números de telefone, endereços de envio e números de pedido.
A descoberta é particularmente significativa porque Trezor afirma que essas informações antigas não deveriam permanecer nos sistemas da ShipMonk. A empresa exige que os parceiros de atendimento deletem ou anonimizem as informações dos pedidos 90 dias após a entrega.
Segundo a Trezor, a empresa buscou repetidamente confirmação de que a ShipMonk havia removido as informações e recebeu garantias por escrito de que a exclusão havia ocorrido. A investigação mais recente mostrou que os registros permaneceram armazenados pelo provedor de logística.
A divulgação original de agosto envolvia pedidos mais recentes. Trezor disse que 11.742 clientes tiveram seus nomes, endereços de e-mail, números de telefone e endereços de envio expostos, enquanto outras 1.947 pessoas tiveram um conjunto menor de informações comprometidas, consistindo em nomes, cidades e endereços de e-mail.
A própria infraestrutura da Trezor não foi violada, e o incidente não afeta a segurança de suas carteiras de hardware nem a criptomoeda armazenada por elas. No entanto, as informações pessoais obtidas da ShipMonk podem fornecer material útil para phishing direcionado e engenharia social.
Os atacantes podem usar nomes, informações de contato, detalhes de compra e endereços para tornar as comunicações que se passam por Trezor parecerem mais convincentes. Por isso, os clientes foram alertados para desconfiar de e-mails, ligações telefônicas e cartas físicas inesperadas. A exposição de endereços residenciais também pode criar preocupações adicionais de segurança física para os proprietários de criptomoedas.
Trezor entrou em contato com clientes incluídos na divulgação ampliada. A empresa continua enfatizando que os usuários nunca devem divulgar seu backup ou seed de recuperação da carteira em resposta a comunicações não solicitadas.