Компания Trezor сообщила о расширении масштабов утечки данных у своего логистического партнера ShipMonk. В дополнение к ранее известным случаям пострадали еще 67 000 клиентов из США. В открытом доступе оказались имена, номера телефонов, домашние адреса и номера заказов, оформленных в период с ноября 2019 по август 2021 года. Общее число затронутых записей достигло 80 700.
Причиной инцидента стала уязвимость SQL-инъекции в аналитическом инструменте Metabase, позволившая злоумышленникам получить доступ к базам данных. По сообщениям, ShipMonk получила требования о выкупе от группы ShinyHunters. Ранее Trezor неоднократно получала от партнера письменные подтверждения об удалении этих данных, что было предусмотрено условиями контракта и политикой конфиденциальности.
В Trezor подчеркнули, что внутренние системы компании, аппаратные кошельки и ключи доступа не были скомпрометированы. Тем не менее, компания предупредила пользователей о рисках фишинга и угрозах физической безопасности. Сейчас Trezor внедряет систему анонимной доставки через постаматы и нейтральную упаковку, чтобы покупателям не приходилось указывать свои домашние адреса при оформлении заказов.