Trezor, jedna z najbardziej rozpoznawalnych marek sprzętowych portfeli kryptowalutowych, potwierdziła, że naruszenie danych u jej partnera logistycznego ujawniło dane osobowe 13 689 klientów. Fi...

Trezor, jedna z najbardziej rozpoznawalnych marek sprzętowych portfeli kryptowalutowych, potwierdziła, że naruszenie danych u jej partnera logistycznego ujawniło dane osobowe 13 689 klientów. Firma podaje, że incydent nie pochodził z jej własnych systemów, lecz od ShipMonk, zewnętrznego dostawcy logistycznego odpowiedzialnego za realizację i wysyłkę zamówień Trezor.

Co się stało w ShipMonk

Według Trezora naruszenie dotknęło klientów, którzy złożyli zamówienie na produkt Trezor między 10 maja a 8 sierpnia tego roku. Spośród dotkniętych użytkowników 11 742 miało w pełni ujawnione nazwiska, adresy e-mail, numery telefonów i adresy wysyłkowe. Mniejsza grupa 1 947 klientów miała częściowo ujawnione dane. Trezor oświadczył, że urządzenia klientów, klucze prywatne i kopie zapasowe portfela nie zostały naruszone, co oznacza, że incydent nie zagroził aktywom kryptowalutowym przechowywanym na dotkniętych sprzętowych portfelach.

Ujawnienie danych objęło wiele krajów, a poszkodowani klienci zgłoszeni zostali w Wielkiej Brytanii, Stanach Zjednoczonych, Szwecji, Kolumbii, Brazylii, Włoszech i Portugalii. Ponieważ ShipMonk obsługuje realizację zamówień dla wielu marek e-commerce poza Trezorem, incydent ten przypomina, że poziom bezpieczeństwa firmy jest tylko tak silny, jak najsłabsze ogniwo w jej łańcuchu dostaw.

To nie pierwszy raz, kiedy klienci Trezora muszą zmierzyć się z konsekwencjami incydentu u strony trzeciej. Jak opisano w naszym wcześniejszym raporcie na temat naruszenia danych Trezor, które ujawniło dane 13 689 kupujących, skala ujawnienia i wrażliwość danych sprawiają, że jest to znaczące wydarzenie dla każdego, kto w ostatnich miesiącach kupił sprzętowy portfel.

Dlaczego dane wysyłkowe mają znaczenie dla posiadaczy kryptowalut

Na pierwszy rzut oka nazwiska, adresy e-mail, numery telefonów i adresy wysyłkowe mogą wydawać się mniej niepokojące niż naruszenie obejmujące hasła lub dane finansowe. Jednak dla posiadaczy sprzętowych portfeli ten rodzaj danych niesie ze sobą szczególne ryzyko. Każdy, kto wie, że dana osoba niedawno kupiła urządzenie Trezor, wie również, że prawdopodobnie posiada ona kryptowaluty. Ta kombinacja — tożsamość plus potwierdzony zakup sprzętowego portfela plus adres fizyczny — to dokładnie profil, wokół którego budowane są kampanie phishingowe oraz, w rzadszych, ale poważniejszych przypadkach, próby kradzieży fizycznej.

Oszuści mają długą historię podszywania się pod firmy produkujące sprzętowe portfele po takich naruszeniach, wysyłając fałszywe wiadomości e-mail lub SMS-y z „alertami bezpieczeństwa", które kierują ofiary na strony phishingowe zaprojektowane do kradzieży fraz odzyskiwania. Ponieważ skradzione dane obejmują prawdziwe nazwiska i dane kontaktowe powiązane z prawdziwym zakupem, te kolejne oszustwa wyglądają znacznie bardziej wiarygodnie niż ogólne próby phishingu.

Szerszy obraz: ryzyko stron trzecich w bezpieczeństwie kryptowalut

Podstawowa architektura bezpieczeństwa Trezora, w tym przechowywanie kluczy prywatnych i oprogramowanie układowe urządzeń, nie została naruszona w tym incydencie. To rozróżnienie ma znaczenie. Naruszenie ilustruje rosnący problem w branży technologicznej i kryptowalutowej: firmy mogą inwestować duże środki w zabezpieczenie własnej infrastruktury, a jednocześnie narażać klientów poprzez dostawców i partnerów obsługujących logistykę, płatności lub wsparcie klienta.

Partnerzy zajmujący się wysyłką i realizacją zamówień często przechowują więcej danych klientów, niż ludzie sobie wyobrażają, w tym pełną historię zamówień, adresy i dane kontaktowe. Gdy ci partnerzy padną ofiarą naruszenia, firma, której nazwie klienci faktycznie ufają — w tym przypadku Trezor — ostatecznie ponosi konsekwencje wizerunkowe i związane z relacjami z klientami, nawet jeśli naruszenie miało miejsce poza jej własnymi granicami.

Co to oznacza dla Ciebie

Jeśli zamówiłeś produkt Trezor między 10 maja a 8 sierpnia, powinieneś założyć, że Twoje nazwisko, adres e-mail, numer telefonu i adres wysyłkowy mogły zostać ujawnione. Nie oznacza to, że Twoje kryptowaluty są zagrożone, ponieważ klucze portfela i bezpieczeństwo urządzenia pozostają nienaruszone. Oznacza to jednak, że powinieneś być wyczulony na próby phishingu odnoszące się do Twojego zamówienia Trezor, Twojego urządzenia lub Twoich zasobów kryptowalutowych. Zachowaj szczególną ostrożność w przypadku nieoczekiwanych wiadomości e-mail lub SMS-ów z prośbą o „weryfikację" portfela, podanie frazy odzyskiwania lub kliknięcie linku w celu rozwiązania rzekomego problemu bezpieczeństwa związanego z tym naruszeniem. Trezor, podobnie jak inni renomowani producenci portfeli, nigdy nie poprosi Cię o frazę odzyskiwania w żadnych okolicznościach.

Warto również pamiętać, że takie naruszenie wpływa na szerszy cyfrowy ślad, nie tylko na Twoją aktywność związaną z kryptowalutami. Ujawnione numery telefonów i adresy mogą zostać wykorzystane do ataków socjotechnicznych niezwiązanych z samym Trezorem, więc ogólna czujność wobec nieoczekiwanych połączeń, SMS-ów lub wiadomości e-mail jest wskazana w nadchodzących tygodniach.

Praktyczne wskazówki

Jeśli uważasz, że możesz być wśród 13 689 dotkniętych klientów, rozważ podjęcie następujących kroków:

• Uważaj na phishingowe wiadomości e-mail lub SMS-y odnoszące się do Twojego zamówienia Trezor i nigdy nie klikaj linków ani nie podawaj fraz odzyskiwania z nieoczekiwanych wiadomości.
• Weryfikuj każdą komunikację rzekomo pochodzącą od Trezora, przechodząc bezpośrednio na oficjalne kanały firmy, zamiast klikać linki w wiadomościach e-mail.
• Trzymaj frazę odzyskiwania swojego sprzętowego portfela offline i nigdy jej nie udostępniaj, niezależnie od tego, jak pilna lub oficjalna może wydawać się prośba.
• Monitoruj nietypową aktywność konta lub próby kontaktu związane z adresem lub numerem telefonu użytym przy zamówieniu Trezor.
• Bądź na bieżąco z powiadomieniami o naruszeniach od firm, od których kupiłeś sprzętowe lub programowe produkty zabezpieczające, ponieważ incydenty w łańcuchu dostaw, takie jak ten, stają się coraz częstsze w całej branży.

To naruszenie jest użytecznym przypomnieniem, że silne bezpieczeństwo osobiste zależy nie tylko od produktu, który kupujesz, ale od całego łańcucha firm, które mają styczność z Twoimi danymi po drodze.