Производитель аппаратных криптокошельков Trezor сообщил о расширении масштабов утечки данных у логистического партнера ShipMonk. К ранее известным почти 14 тыс. пострадавших добавились еще около 67 тыс. клиентов из США, которые заказывали устройства с ноября 2019-го по август 2021 года. В результате общее число затронутых пользователей достигло примерно 81 тыс. человек.
В сеть могли попасть имена, адреса электронной почты, номера телефонов, почтовые адреса и номера заказов. При этом системы Trezor, сами аппаратные кошельки, seed-фразы и резервные копии не были скомпрометированы. Компания предупреждает, что утекшие данные могут использоваться для точечного фишинга, мошеннических звонков и поддельных писем.
Первоначально об инциденте стало известно в августе. Тогда Trezor сообщила о 11 742 клиентах с полной утечкой контактных данных и еще 1 947 пользователях с частичной. Атака произошла не на инфраструктуру производителя кошельков, а на ShipMonk. По данным расследования, злоумышленники получили доступ к данным через стороннюю аналитическую платформу Metabase.
Позднее выяснилось, что ShipMonk продолжал хранить более старые записи о заказах, хотя Trezor, по ее заявлению, неоднократно получала письменные подтверждения об их удалении в соответствии с договором и политикой хранения данных. На эту деталь также обращают внимание юристы, изучающие возможные претензии пострадавших клиентов.
Инцидент особенно чувствителен для владельцев аппаратных кошельков: даже без доступа к приватным ключам информация о том, кто приобрел такое устройство и по какому адресу оно было доставлено, позволяет создавать значительно более убедительные фишинговые атаки. Trezor рекомендует пострадавшим не передавать seed-фразы и другие конфиденциальные данные и проверять любые сообщения от имени компании только через официальные каналы.
