Trezor potwierdził w czwartek, że naruszenie u jednego z jego partnerów wysyłkowych ujawniło dane osobowe 13 689 klientów. Zabrano im imiona, adresy domowe, numery telefonów i adresy e-mail.
Nie przeniesiono żadnej kryptowaluty. Trezor twierdzi, że jego własne systemy, urządzenia i kopie zapasowe portfeli klientów nigdy nie zostały naruszone. Szkody poniósł zewnętrzny dostawca.
Co ujawniono w naruszeniu danych Trezora
ShipMonk przechowuje i wysyła zamówienia Trezora. 10 sierpnia poinformował Trezora, że intruz uzyskał dostęp do systemów przechowujących dane klientów.
Ujawnienie dzieli się na dwie części. Około 11 742 kupujących straciło wszystko, co oznacza imię, e-mail, numer telefonu i pełny adres wysyłki. Innych 1 947 straciło tylko imię, miasto i e-mail.
Czas decyduje, kto został złapany. Wyciek obejmuje zamówienia dostarczone między 10 maja a 8 sierpnia tego roku w USA, Wielkiej Brytanii, Szwecji, Kolumbii, Brazylii, Włoszech i Portugalii.
Starszych kupujących oszczędza zasada. Trezor zmusza partnerów do usunięcia lub zanonimizowania danych zamówień 90 dni po dostawie, więc wcześniejsze przesyłki zostały już usunięte.
Jest jeden prosty test. Dotknięci klienci otrzymali e-mail z [email protected]. Brak e-maila oznacza brak ujawnienia.
Jeden szczegół boli. ShipMonk posiada certyfikat SOC 2 Type II, audytowany standard bezpieczeństwa, a mimo to został naruszony.
Dlaczego ujawniony adres jest gorszy od ujawnionego e-maila
Sam e-mail niewiele daje oszustowi. Imię, adres domowy i numer telefonu razem robią znacznie więcej. Oznaczają konkretną osobę przy konkretnych drzwiach jako kupca kryptowalut.
Trezor przedstawił plan działania. Oszuści mogą wysyłać fałszywe e-maile, dzwonić z fałszywych numerów, wysyłać oszukańcze listy lub podszywać się pod bank, giełdę lub sam Trezor.
Ten wzór ma swoją historię. Ledger stracił około 1 miliona e-maili klientów w lipcu 2020 roku. Około 9 500 z tych kupujących miało również ujawnione pełne dane adresowe, a fałszywe listy z frazami odzyskiwania dotarły do ich domów lata później.
Teraz porównaj skalę. Naruszenie Trezora ujawniło pełne adresy 11 742 osób, więcej niż 9 500 kupujących Ledger, którzy zostali dotknięci w 2020 roku.
Dyrektor generalny Ledger, Pascal Gauthier, odpowiedział na ten sam strach w 2020 roku, a logika wciąż się sprawdza.
„Nie ma sposobu, aby powiązać dane, które wyciekły, z funduszami w twoim portfelu,” brzmiał fragment ogłoszenia Ledger.
Napastnicy już mieli markę na oku. Niedawno pojawiła się reklama phishingowa Trezora kilka dni przed tym ujawnieniem. Osobno, fałszywe oszustwa telefoniczne wsparcia wyciągnęły miliony od posiadaczy w tym roku.
Dostawcy wciąż okazują się słabym ogniwem. Naruszenie procesora płatności Ledger ujawniło dane zamówień klientów w styczniu.
Co powinni teraz zrobić właściciele Trezora
Porada jest krótka i działa. Traktuj pilność jako czerwony flag. Sprawdź wszystko, co dziwne, w oficjalnych kanałach Trezora. Nigdy nie wpisuj kopii zapasowej portfela na stronie internetowej.
„Nigdy nie wprowadzaj kopii zapasowej swojego portfela na stronie internetowej ani nie dziel się nią z nikim,” napisał Trezor na blogu.
Dwa nawyki zmniejszają przyszłe ryzyko. Zamawiaj z e-mailem, który nie jest powiązany z twoim prawdziwym imieniem, i płać w kryptowalutach, gdzie to możliwe.
Trezor obiecał również opcję Anonimowej Dostawy opartą na odbiorze z szafki i neutralnym pakowaniu. Celuje w UE do września i w USA do końca 2026 roku.
Trezor twierdzi, że to pierwsze naruszenie od 2013 roku, które ujawnia numery telefonów klientów i adresy wysyłki. Sprzęt nadal działa. Słabym punktem nigdy nie był sam urządzenie. To było pudełko, w którym przybyło.
Źródło: BeInCrypto
