ผลกระทบจากการละเมิดข้อมูล Trezor ตอนนี้ถึง 81,000 ราย

Trezor ผู้ผลิตกระเป๋าเก็บคริปโทเคอร์เรนซีแบบฮาร์ดแวร์ ยืนยันว่าขอบเขตของการละเมิดข้อมูลที่เกี่ยวข้องกับ ShipMonk ผู้ให้บริการจัดส่งและโลจิสติกส์ของบริษัท นั้นใหญ่กว่าที่รายงานไว้ในตอนแรกมาก สิ่งที่เริ่มต้นจากการเปิดเผยข้อมูลที่กระทบลูกค้าประมาณ 14,000 รายในเดือนสิงหาคม ตอนนี้เพิ่มขึ้นเป็น 81,000 ราย หลังจาก Trezor ระบุลูกค้าในสหรัฐฯ เพิ่มอีก 67,000 รายที่ได้รับผลกระทบจากเหตุการณ์เดียวกัน

การละเมิดครั้งนี้ไม่ได้เกิดจากระบบภายในของ Trezor เอง แต่เกิดจาก ShipMonk บริษัทบุคคลที่สามที่ Trezor ใช้ในการจัดการการเติมเต็มคำสั่งซื้อและการจัดส่ง เนื่องจาก ShipMonk ประมวลผลคำสั่งซื้อของลูกค้า จึงเก็บข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการซื้อเหล่านั้นด้วย ซึ่งเป็นเหตุผลว่าทำไมการโจมตีที่ผู้ให้บริการโลจิสติกส์จึงสามารถเปิดเผยข้อมูลลูกค้า Trezor ได้ แม้ว่าโครงสร้างพื้นฐานด้านความปลอดภัยหลักของ Trezor จะไม่ถูกแตะต้องเลยก็ตาม

จาก 14,000 เป็น 81,000: ตัวเลขเพิ่มขึ้นได้อย่างไร

Trezor เปิดเผยการละเมิดครั้งแรกเมื่อวันที่ 13 สิงหาคม โดยแจ้งลูกค้าว่าผู้โจมตีเข้าถึงข้อมูลของคนเกือบ 14,000 คน ตัวเลขเริ่มต้นนั้นเป็นการแก้ไขครั้งที่สามหรือสี่แล้วในชุดการอัปเดตที่เกี่ยวข้อง ต่อจากรายงานก่อนหน้าเกี่ยวกับการแฮก ShipMonk ที่เปิดเผยข้อมูลผู้ซื้อ 13,689 ราย และการเปิดเผยแยกต่างหากที่ระบุตัวเลขเพียงกว่า 13,000 ราย

การอัปเดตล่าสุดถือเป็นการเพิ่มขึ้นครั้งใหญ่ที่สุด Trezor ระบุว่าลูกค้าในสหรัฐฯ เพิ่มอีก 67,000 รายได้รับผลกระทบ ทำให้ยอดรวมที่ยืนยันแล้วอยู่ที่ 81,000 ราย ซึ่งเพิ่มขึ้นเกือบหกเท่าจากประมาณการเดิมเมื่อแรกเริ่มเปิดเผยการละเมิด รูปแบบนี้ที่การเปิดเผยการละเมิดครั้งแรกตามด้วยการปรับตัวเลขเพิ่มขึ้นหลายครั้ง เป็นเรื่องปกติในเหตุการณ์ที่เกี่ยวข้องกับผู้ขายบุคคลที่สาม เนื่องจากบริษัทที่ถูกละเมิดมักเป็นฝ่ายที่สอบสวนระบบของตัวเอง ในขณะที่พันธมิตรของบริษัทดำเนินการตรวจสอบแยกต่างหาก ซึ่งอาจช้ากว่า ว่าข้อมูลใดถูกเข้าถึงจริง

เช่นเดียวกับช่วงแรกของการละเมิดครั้งนี้ซึ่งเปิดเผยที่อยู่บ้านที่เชื่อมโยงกับลูกค้าเกือบ 14,000 ราย ข้อมูลที่เกี่ยวข้องเชื่อมโยงกับการเติมเต็มคำสั่งซื้อ ไม่ใช่ซอฟต์แวร์กระเป๋าเงินหรือคีย์ส่วนตัวของ Trezor ความแตกต่างนั้นสำคัญ: ไม่มีข้อบ่งชี้ว่าการถือครองคริปโทเคอร์เรนซี ซีดของกระเป๋าเงิน หรือเฟิร์มแวร์อุปกรณ์ถูกโจมตี การเปิดเผยข้อมูลเน้นไปที่ข้อมูลส่วนบุคคลที่ลูกค้าให้ไว้เมื่อวางคำสั่งซื้อ ซึ่งเป็นข้อมูลประเภทที่บริษัทจัดส่งจำเป็นต้องใช้ในการส่งพัสดุ

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณเคยสั่งซื้ออุปกรณ์ Trezor การเปิดเผยข้อมูลที่ขยายวงกว้างนี้ควรได้รับการพิจารณาอย่างจริงจัง แม้ว่าคุณจะไม่ได้อยู่ในกลุ่มลูกค้า 14,000 รายแรกที่ได้รับแจ้งในเดือนสิงหาคมก็ตาม เนื่องจากลูกค้า 67,000 รายที่เพิ่งระบุได้เป็นกลุ่มในสหรัฐฯ โดยเฉพาะ ผู้ใดก็ตามในสหรัฐอเมริกาที่ซื้อผลิตภัณฑ์ Trezor ควรสันนิษฐานว่าตนอาจอยู่ในกลุ่มที่ได้รับผลกระทบกว้างขึ้นนี้ จนกว่าจะได้รับการยืนยันโดยตรงไม่ทางใดก็ทางหนึ่ง

ความเสี่ยงเชิงปฏิบัติจากการละเมิดประเภทนี้ไม่ใช่การที่ใครบางคนสามารถระบายเงินจากกระเป๋าเงินคริปโทได้จากระยะไกล อุปกรณ์ของ Trezor ถูกออกแบบมาให้คีย์ส่วนตัวไม่เคยออกจากตัวฮาร์ดแวร์ และการละเมิดข้อมูลการจัดส่งไม่ได้เปลี่ยนแปลงสิ่งนั้น ความเสี่ยงที่แท้จริงเป็นทางอ้อมมากกว่า: ผู้โจมตีที่ได้ชื่อ ที่อยู่จัดส่ง และรายละเอียดคำสั่งซื้อที่เชื่อมโยงกับการซื้อกระเป๋าเงินฮาร์ดแวร์ ตอนนี้มีรายชื่อคนที่รู้กันว่าเป็นเจ้าของคริปโทเคอร์เรนซี และมักมีที่อยู่ทางกายภาพของพวกเขาด้วย การรวมกันนั้นมีค่าสำหรับมิจฉาชีพที่ทำแคมเปญฟิชชิง การขอความช่วยเหลือปลอม หรือในกรณีที่หายากกว่านั้น อาชญากรรมทางกายภาพที่เจาะจงเหยื่อเป็นผู้ถือคริปโท

เนื่องจากการละเมิดนี้ถูกอัปเดตหลายครั้งตั้งแต่การเปิดเผยครั้งแรก ลูกค้าไม่ควรถือว่าตัวเลข 81,000 รายในปัจจุบันเป็นตัวเลขสุดท้าย บริษัทที่สอบสวนการละเมิดจากผู้ขายบุคคลที่สามมักออกการอัปเดตเพิ่มเติมเมื่อการสอบสวนของผู้ขายดำเนินต่อไป

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

หากคุณซื้ออุปกรณ์ Trezor โดยเฉพาะภายในปีที่ผ่านมา มีขั้นตอนไม่กี่ขั้นตอนที่ควรทำตอนนี้ ประการแรก ติดตามการสื่อสารอย่างเป็นทางการจาก Trezor โดยตรงเพื่อยืนยันว่าบัญชีของคุณอยู่ในกลุ่มที่ได้รับผลกระทบหรือไม่ และปฏิบัติต่ออีเมลหรือโทรศัพท์ที่ไม่พึงประสงค์ซึ่งอ้างว่ามาจากฝ่ายสนับสนุน Trezor ด้วยความระมัดระวังเป็นพิเศษ เนื่องจากข้อมูลจากการละเมิดมักถูกใช้เพื่อทำให้ความพยายามฟิชชิงดูน่าเชื่อถือมากขึ้น ประการที่สอง อย่าแบ่งปันรหัสกู้คืนหรือซีดคำของกระเป๋าเงินของคุณกับใคร รวมถึงคนที่อ้างว่าเป็นตัวแทนฝ่ายสนับสนุน Trezor; เจ้าหน้าที่สนับสนุนที่ถูกต้องจะไม่มีวันขอข้อมูลนี้ ประการที่สาม หากที่อยู่บ้านของคุณถูกเปิดเผย พิจารณาว่าข้อมูลที่เชื่อมโยงคุณกับการเป็นเจ้าของคริปโทเคอร์เรนซีนี้กำลังถูกเผยแพร่ และตื่นตัวต่อจดหมาย โทรศัพท์ หรือการติดต่อแบบพบหน้าผิดปกติที่อ้างถึงการซื้อของคุณ สุดท้าย ติดตามการอัปเดตในอนาคตของเหตุการณ์นี้ เนื่องจากการแก้ไขซ้ำๆ ที่ผ่านมาชี้ให้เห็นว่าขอบเขตสุดท้ายอาจยังเปลี่ยนแปลงได้

ความปลอดภัยหลักของกระเป๋าเงิน Trezor ไม่ได้รับผลกระทบจากการละเมิดครั้งนี้ แต่การเปิดเผยข้อมูลการจัดส่งส่วนบุคคลในระดับนี้เป็นเครื่องเตือนใจว่าแม้แต่ผลิตภัณฑ์ฮาร์ดแวร์ที่เน้นความเป็นส่วนตัวก็ยังพึ่งพาผู้ขายบุคคลที่สามที่อาจไม่ได้มาตรฐานความปลอดภัยเดียวกัน