Trezor ha confermato giovedì che una violazione presso uno dei suoi partner di spedizione ha esposto i dati personali di 13.689 clienti. Sono stati rubati nomi, indirizzi di casa, numeri di telefono e indirizzi email.
Nessuna criptovaluta è stata spostata. Trezor afferma che i propri sistemi, i propri dispositivi e i backup dei portafogli dei clienti non sono mai stati toccati. Il danno riguarda un fornitore esterno.
Cosa ha rivelato la violazione dei dati di Trezor
ShipMonk immagazzina e spedisce gli ordini di Trezor. Il 10 agosto ha informato Trezor che un intruso era riuscito ad accedere ai sistemi contenenti i registri dei clienti.
L'esposizione si divide in due. Circa 11.742 acquirenti hanno perso tutto, ovvero nome, email, numero di telefono e indirizzo di spedizione completo. Altri 1.947 hanno perso solo un nome, una città e un'email.
Il tempismo decide chi viene colpito. La fuga di dati riguarda ordini consegnati tra il 10 maggio e l'8 agosto di quest'anno negli Stati Uniti, Regno Unito, Svezia, Colombia, Brasile, Italia e Portogallo.
I clienti più anziani sono stati risparmiati da una regola. Trezor fa sì che i partner eliminino o anonimizzino i dati degli ordini 90 giorni dopo la consegna, quindi le spedizioni precedenti erano già state cancellate.
C'è un semplice test. I clienti interessati hanno ricevuto un'email da [email protected]. Nessuna email significa nessuna esposizione.
Un dettaglio è doloroso. ShipMonk detiene la certificazione SOC 2 Tipo II, uno standard di sicurezza auditato, ed è stato violato comunque.
Perché un indirizzo trapelato è peggio di un'email trapelata
Un'email da sola compra poco a un truffatore. Un nome, un indirizzo di casa e un numero di telefono insieme fanno molto di più. Segnano una persona specifica a una porta specifica come acquirente di criptovalute.
Trezor ha delineato il piano d'azione. I truffatori possono inviare email false, effettuare chiamate false, inviare lettere fraudolente o spacciarsi per una banca, un exchange o Trezor stesso.
Quello schema ha una storia. Ledger ha perso circa 1 milione di email di clienti a luglio 2020. Circa 9.500 di quegli acquirenti avevano anche dettagli postali completi esposti, e lettere false con frasi di recupero sono arrivate a casa loro anni dopo.
Ora confronta la scala. La violazione di Trezor ha esposto indirizzi completi per 11.742 persone, più dei 9.500 acquirenti di Ledger colpiti nel 2020.
Il CEO di Ledger, Pascal Gauthier, ha risposto alla stessa paura nel 2020, e la logica è ancora valida.
“non c'è modo di fare alcuna correlazione tra i dati che sono trapelati e i fondi nel tuo portafoglio,” recitava un estratto nell'annuncio di Ledger.
Gli aggressori avevano già il marchio in vista. Una recente pubblicità di phishing di Trezor è apparsa giorni prima di questa divulgazione. Separatamente, le truffe di chiamate di supporto false hanno prosciugato milioni dai possessori quest'anno.
I fornitori continuano a dimostrarsi il punto debole. La violazione del processore di pagamento di Ledger ha fatto trapelare i dati degli ordini dei clienti a gennaio.
Cosa dovrebbero fare ora i proprietari di Trezor
Il consiglio è breve e funziona. Tratta l'urgenza come un campanello d'allarme. Controlla qualsiasi cosa strana attraverso i canali ufficiali di Trezor. Non digitare mai un backup del portafoglio in un sito web.
“Non inserire mai il backup del tuo wallet su un sito web o condividerlo con chiunque,” ha scritto Trezor in un blog.
Due abitudini riducono l'esposizione futura. Ordina con un'email che non è collegata al tuo vero nome e paga in crypto dove possibile.
Trezor ha anche promesso un'opzione di Consegna Anonima basata sul ritiro in locker e imballaggi neutri. Mira all'UE entro settembre e agli Stati Uniti entro la fine del 2026.
Trezor afferma che questa è la prima violazione dal 2013 a esporre numeri di telefono e indirizzi di spedizione dei clienti. L'hardware è ancora integro. Il punto debole non era mai il dispositivo. Era la scatola in cui è arrivato.
Fonte: BeInCrypto
