Η Trezor επιβεβαιώνει διαρροή δεδομένων 13.689 πελατών από τη ShipMonk

Η κατασκευάστρια πορτοφολιών κρυπτονομισμάτων Trezor επιβεβαίωσε ότι παραβίαση στα συστήματα της ShipMonk, του συνεργάτη εφοδιαστικής που αποθηκεύει και αποστέλλει τα προϊόντα της, εξέθεσε προσωπικά στοιχεία 13.689 πελατών. Σύμφωνα με την επίσημη ανακοίνωση της Trezor, 11.742 πελάτες από ΗΠΑ, Ηνωμένο Βασίλειο, Σουηδία, Κολομβία, Βραζιλία, Ιταλία και Πορτογαλία που παρήγγειλαν προϊόντα μεταξύ 10 Μαΐου και 8 Αυγούστου 2026 είδαν να διαρρέουν όνομα, email, τηλέφωνο και διεύθυνση αποστολής. Άλλοι 1.947 πελάτες είχαν μερική έκθεση δεδομένων, περιοριζόμενη σε όνομα, πόλη κατοικίας και email· η Trezor σημειώνει ότι ορισμένες από αυτές τις παραγγελίες ενδέχεται να προηγούνται της 10ης Μαΐου, αλλά η επαλήθευση του ακριβούς χρονικού διαστήματος με τη ShipMonk βρίσκεται ακόμη σε εξέλιξη.

Σύμφωνα με το BleepingComputer, που εξέτασε τα emails ειδοποίησης παραβίασης προς τους πελάτες, η διείσδυση στα συστήματα της ShipMonk έγινε μέσω ευπάθειας στο Metabase, εργαλείο επιχειρηματικής ανάλυσης δεδομένων που χρησιμοποιούν πολλές εταιρείες για εσωτερικά dashboards. Η ίδια πηγή αναφέρει ότι το Metabase ενημέρωσε τη ShipMonk για την ευπάθεια στις 6 Αυγούστου, ενώ η ShipMonk με τη σειρά της ενημέρωσε την Trezor στις 10 Αυγούστου. Η Trezor επιβεβαίωσε το περιστατικό δημόσια στις 13 και 14 Αυγούστου. Η εταιρεία υπόκειται σε πολιτική διατήρησης δεδομένων 90 ημερών, η οποία υποχρεώνει τους συνεργάτες της να διαγράφουν ή να ανωνυμοποιούν τα στοιχεία παραγγελιών μετά το πέρας αυτού του διαστήματος, όριο που κατά την εταιρεία περιόρισε την έκταση της διαρροής.

Η Trezor διευκρίνισε ότι τα ίδια της τα συστήματα και οι συσκευές παραμένουν ασφαλή, προειδοποίησε όμως τους πελάτες ότι ενδέχεται να δεχθούν αυξημένες προσπάθειες phishing εκμεταλλευόμενες τα διαρρεύσαντα στοιχεία. Πρόκειται, σύμφωνα με την εταιρεία, για την πρώτη φορά από την ίδρυσή της το 2013 που παραβίαση εκθέτει τηλέφωνα και διευθύνσεις αποστολής πελατών. Ως μέτρο αντιμετώπισης, η Trezor αναπτύσσει υπηρεσία «Anonymous Delivery», μέσω της οποίας οι πελάτες θα μπορούν να ολοκληρώνουν παραγγελίες με ψευδώνυμο, παραλαβή από αυτοματοποιημένο locker και ανώνυμη ή μη επώνυμη συσκευασία χωρίς λογότυπο, με στόχο έναρξη τον Σεπτέμβριο στην ΕΕ και έως το τέλος του 2026 στις ΗΠΑ. Για αγοραστές συσκευών hardware ασφαλείας, το περιστατικό δείχνει ότι η προστασία του ίδιου του υλικού δεν αρκεί όταν οι προσωπικές πληροφορίες περνούν από τρίτους παρόχους εφοδιαστικής.

Πηγές

• Crypto wallet maker Trezor confirms 13,000 customers' details exposed in logistics breach
• Trezor discloses data breach affecting nearly 14,000 customers
• Recent customer data exposed in shipping provider incident | Trezor