Trezor ujawnia wyciek danych po ataku na ShipMonk

Dane klientów Trezora trafiły do atakujących

Producent portfeli sprzętowych Trezor poinformował o kolejnym wycieku danych powiązanym z incydentem u zewnętrznego partnera. Tym razem chodzi o firmę ShipMonk, która obsługiwała wysyłkę zamówień. W efekcie naruszenia bezpieczeństwa ujawnione zostały dane 67 000 klientów z USA.

Według przekazanych informacji wyciek obejmuje:

• imiona i nazwiska,
• adresy e-mail,
• numery telefonów,
• adresy wysyłki,
• numery zamówień.

Dane pochodzą z okresu od listopada 2019 roku do sierpnia 2021 roku.

Trezor: bezpieczeństwo portfeli nie zostało naruszone

Firma podkreśla, że incydent nie wpłynął na bezpieczeństwo samych urządzeń ani na działanie portfeli sprzętowych. Problem dotyczy wyłącznie danych klientów związanych z realizacją zamówień.

Trezor przypomina też, że w jego własnym e-shopie dane klientów są przechowywane tylko przez 90 dni, a następnie usuwane lub anonimizowane. Krótkie okno retencji ma obejmować cały cykl życia zamówienia: dostawę, zwroty, wymiany i ewentualne zwroty pieniędzy.

Jak doszło do incydentu

Z przekazanych informacji wynika, że ShipMonk miał poinformować Trezora o naruszeniu 10 sierpnia 2026 roku, po nieautoryzowanym dostępie do swoich systemów. Sam incydent miał mieć związek z wykorzystaniem zero-day w narzędziu Metabase — chodzi o krytyczną lukę SQL injection oznaczoną jako CVE-2026-72898 i ocenioną na CVSS 10.0.

Atak miał być częścią szerszego łańcucha dostaw: cyberprzestępcy wykorzystali słabość u dostawcy usług, a następnie uzyskali dostęp do danych jego klientów.

Ryzyko phishingu i podszywania się pod firmę

Trezor ostrzega, że ujawnione informacje mogą zostać wykorzystane do:

• kampanii phishingowych,
• fałszywych telefonów i listów,
• podszywania się pod firmę w korespondencji e-mail,
• prób nakłonienia ofiar do niezamierzonych działań.

Producent zwraca też uwagę, że w skrajnych przypadkach taki wyciek może prowadzić do zagrożeń fizycznych, zwłaszcza jeśli atakujący wykorzystają adresy i dane kontaktowe do precyzyjnie przygotowanych oszustw.

Drugi ujawniony wyciek w krótkim czasie

To nie pierwszy raz, gdy Trezor informuje o problemie związanym z tym incydentem. Wcześniej firma ujawniła, że naruszenie mogło dotknąć 13 689 klientów. Teraz zakres wycieku rozszerzono o kolejne 67 000 osób.

W praktyce oznacza to, że dane dotyczące części zamówień, które miały już zostać usunięte zgodnie z polityką retencji, nadal znajdowały się w systemach zewnętrznego partnera.

Co wynika z tej sprawy

Incydent pokazuje, że nawet firma dbająca o własną politykę bezpieczeństwa może zostać pośrednio dotknięta przez słabsze ogniwo w łańcuchu dostaw. W tym przypadku problem nie dotyczył samego sprzętu Trezora, lecz danych przechowywanych przez operatora logistycznego.

Dla klientów najważniejsze pozostaje teraz zachowanie ostrożności wobec nietypowych wiadomości, telefonów i prób kontaktu podszywających się pod producenta lub firmę kurierską.