Trezor, yksi tunnetuimmista kryptovaluuttojen laitteistolompakkovalmistajista, on vahvistanut, että sen toimitusalustan tietomurto paljasti 13 689 asiakkaan henkilötietoja. Yhtiö...

Trezor, yksi tunnetuimmista kryptovaluuttojen laitteistolompakkovalmistajista, on vahvistanut, että sen toimitusalustan tietomurto paljasti 13 689 asiakkaan henkilötietoja. Yhtiön mukaan tapaus ei saanut alkuaan sen omista järjestelmistä, vaan ShipMonkista, kolmannen osapuolen logistiikkapalveluntarjoajasta, joka vastaa Trezor-tilausten käsittelystä ja toimituksista.

Mitä ShipMonkissa tapahtui

Trezzorin mukaan tietomurto vaikutti asiakkaisiin, jotka tekivät tilauksen Trezor-tuotteesta tämän vuoden toukokuun 10. ja elokuun 8. päivän välillä. Kyseisistä käyttäjistä 11 742:n nimet, sähköpostiosoitteet, puhelinnumerot ja toimitusosoitteet paljastuivat kokonaan. Pienemmän, 1 947 asiakkaan ryhmän tiedot paljastuivat osittain. Trezor on ilmoittanut, että asiakkaiden laitteisiin, yksityisavaimiin tai lompakon varmuuskopioihin ei koskettu, mikä tarkoittaa, että tietomurto ei vaarantanut kyseisissä laitteistolompakoissa säilytettyjä kryptovaluuttaomaisuuksia.

Tietojen altistuminen ulottui useisiin maihin, ja asianomaisia asiakkaita on raportoitu muun muassa Isossa-Britanniassa, Yhdysvalloissa, Ruotsissa, Kolumbiassa, Brasiliassa, Italiassa ja Portugalissa. Koska ShipMonk hoitaa tilausten käsittelyn myös monille muille verkkokauppabrändeille kuin Trezorille, tapaus muistuttaa, että yrityksen turvallisuus on vain niin vahva kuin sen toimitusketjun heikoin lenkki.

Tämä ei ole ensimmäinen kerta, kun Trezzorin asiakkaat joutuvat kohtaamaan kolmannen osapuolen tapahtuman seurauksia. Kuten aiemmassa raportissamme käsittelimme Trezor-tietomurrosta, joka paljasti 13 689 ostajan tiedot, altistuneiden tietojen laajuus ja arkaluonteisuus tekevät tästä merkittävän tapahtuman kaikille, jotka ovat ostaneet laitteistolompakon viime kuukausina.

Miksi toimitus tiedoilla on merkitystä kryptoomistajille

Ensi silmäyksellä nimet, sähköpostiosoitteet, puhelinnumerot ja toimitusosoitteet saattavat vaikuttaa vähemmän huolestuttavilta kuin salasanoja tai taloudellisia tunnistetietoja sisältävä tietomurto. Mutta laitteistolompakoiden omistajille tällainen tieto sisältää erityisen riskin. Jokainen, joka tietää, että henkilö on äskettäin ostanut Trezor-laitteen, tietää myös, että henkilöllä on todennäköisesti kryptovaluuttaa. Tämä yhdistelmä – identiteetti sekä vahvistettu laitteistolompakko-osto – ja fyysinen osoite on täsmälleen se profiili, jonka ympärille tietojenkalastelukampanjat ja harvinaisemmissa mutta vakavammissa tapauksissa fyysiset varkausyritykset rakentuvat.

Huijareilla on pitkä historia laitteistolompakkoyhtiöiden esiintymisestä tällaisten tietomurtojen jälkeen: he lähettävät väärennettyjä "turvahälytys"-sähköposteja tai tekstiviestejä, jotka ohjaavat uhrit tietojenkalastelusivustoille, joiden tarkoituksena on varastaa palautuslauseet. Koska varastetut tiedot sisältävät oikeita nimiä ja yhteystietoja, jotka liittyvät todelliseen ostokseen, nämä jatkohuijaukset näyttävät yleensä paljon vakuuttavammilta kuin yleiset tietojenkalasteluyritykset.

Isompi kuva: kolmannen osapuolen riski kryptoturvallisuudessa

Trezzorin ydinturvallisuusarkkitehtuuria, mukaan lukien sen yksityisavainten tallennus ja laitteen laiteohjelmisto, ei vaarannettu tässä tapauksessa. Tämä ero on tärkeä. Tietomurto havainnollistaa kasvavaa huolta koko tekniikka- ja kryptoalalla: yritykset voivat investoida voimakkaasti oman infrastruktuurinsa suojaamiseen ja silti altistaa asiakkaita toimittajien ja kumppanien kautta, jotka hoitavat logistiikkaa, maksuja tai asiakaspalvelua.

Toimitus- ja logistiikkakumppanit säilyttävät usein enemmän asiakastietoja kuin ihmiset ymmärtävät, mukaan lukien täydelliset tilaushistoriat, osoitteet ja yhteystiedot. Kun nämä kumppanit joutuvat tietomurron kohteeksi, yritys, jonka nimeä asiakkaat todella luottavat – tässä tapauksessa Trezor – joutuu hoitamaan maine- ja asiakassuhdevahingot, vaikka tietomurto tapahtui sen omien seinien ulkopuolella.

Mitä tämä tarkoittaa sinulle

Jos tilasit Trezor-tuotteen toukokuun 10. ja elokuun 8. päivän välillä, sinun tulee olettaa, että nimesi, sähköpostiosoitteesi, puhelinnumerosi ja toimitusosoitteesi ovat saattaneet paljastua. Tämä ei tarkoita, että kryptovaluuttasi olisivat vaarassa, koska lompakon avaimet ja laitteen turvallisuus ovat edelleen kunnossa. Se kuitenkin tarkoittaa, että sinun tulee olla valppaana tietojenkalasteluyrityksissä, jotka viittaavat Trezor-tilaukseesi, laitteeseesi tai kryptoomistuksiisi. Ole erityisen varovainen ei-toivottujen sähköpostien tai tekstiviestien suhteen, joissa pyydetään "vahvistamaan" lompakkosi, syöttämään palautuslause tai klikkaamaan linkkiä tämän tietomurron väitetyn turvallisuusongelman ratkaisemiseksi. Trezor, kuten muut hyvämaineiset lompakkovalmistajat, ei koskaan pyydä sinulta palautuslausettasi missään olosuhteissa.

On myös syytä muistaa, että tällainen tietomurto vaikuttaa laajempaan digitaaliseen jalanjälkeesi, ei pelkästään kryptotoimintaasi. Altistuneita puhelinnumeroita ja osoitteita voidaan käyttää sosiaalisen manipuloinnin yrityksiin, jotka eivät liity Trezoriin, joten yleinen valppaus odottamattomien puheluiden, tekstiviestien tai sähköpostien suhteen on perusteltua tulevien viikkojen aikana.

Konkreettiset toimenpiteet

Jos uskot olevasi yksi 13 689 asiakkaasta, harkitse seuraavia toimia:

• Tarkkaile tietojenkalastelu-sähköposteja tai tekstiviestejä, jotka viittaavat Trezor-tilaukseesi, äläkä koskaan klikkaa linkkejä tai syötä palautuslauseita ei-toivotuista viesteistä.
• Varmista kaikki Trezorilta väitetyt yhteydenotot siirtymällä suoraan yhtiön virallisiin kanaviin sen sijaan, että klikkaat sähköpostien linkkejä.
• Pidä laitteistolompakkosi palautuslause offline-tilassa äläkä koskaan jaa sitä riippumatta siitä, kuinka kiireelliseltä tai viralliselta pyyntö näyttää.
• Seuraa epätavallista tilitoimintaa tai yhteydenottoyrityksiä, jotka liittyvät Trezor-tilauksessasi käytettyyn osoitteeseen tai puhelinnumeroon.
• Pysy ajan tasalla tietomurtoilmoituksista yrityksiltä, joilta olet ostanut laitteisto- tai ohjelmistoturvallisuustuotteita, koska tällaiset toimitusketjun tapahtumat ovat yleistymässä koko alalla.

Tämä tietomurto on hyödyllinen muistutus siitä, että vahva henkilökohtainen turvallisuus ei riipu pelkästään ostamastasi tuotteesta, vaan koko yritysketjusta, joka käsittelee tietojasi matkan varrella.