A Trezor informou que uma violação na ShipMonk expôs dados de contato e pedidos de cerca de 67 mil clientes adicionais nos Estados Unidos. A fornecedora de logística manteve os registros em seus sistemas durante anos, apesar de garantias escritas de exclusão. A fabricante divulgou a atualização em 4 de setembro.

Inicialmente, a Trezor informou que o incidente afetava 13.689 pessoas. Os dois grupos, somados, indicam um total aproximado de 80.689 clientes. Contudo, a companhia não publicou uma contagem consolidada nem esclareceu se existe sobreposição entre os grupos.

Ao classificar os clientes como adicionais, a fabricante considera os novos registros separados do primeiro grupo. Os dados abrangem pedidos realizados nos Estados Unidos entre novembro de 2019 e agosto de 2021. Além disso, incluem nomes, e-mails, telefones, endereços de entrega e números de pedidos.

Registros permaneceram armazenados além do prazo

As informações associam pessoas identificáveis e endereços físicos à compra de carteiras de hardware. Por isso, o risco ultrapassa aquele relacionado a um vazamento convencional de e-mails. Com esses elementos, criminosos podem direcionar abordagens contra proprietários dos dispositivos.

Na primeira divulgação, em 13 de agosto, a Trezor contabilizou 11.742 clientes com exposição completa. O grupo também incluía 1.947 pessoas com exposição parcial. Na ocasião, a empresa afirmou que a fornecedora havia eliminado os dados de pedidos antigos. Entretanto, uma correção publicada em 14 de agosto reconheceu que alguns registros parciais incluíam pedidos anteriores.

Depois, a atualização de 4 de setembro alterou esse entendimento. A Trezor declarou que solicitou a exclusão repetidamente e recebeu garantias escritas da ShipMonk. Ainda assim, a fornecedora conservou registros produzidos entre 2019 e 2021.

Política previa exclusão dos dados após 90 dias

A política de dados de entrega da Trezor determina a exclusão das informações nos sistemas da empresa e de parceiros logísticos. Em regra, o procedimento deve ocorrer após 90 dias. Porém, a política prevê exceções para pedidos que ainda apresentam problemas em andamento.

Um relato sobre o aviso da ShipMonk atribuiu o acesso inicial a uma vulnerabilidade na plataforma de análises Metabase. Por sua vez, a Metabase explicou que a falha de dia zero poderia criar uma sessão vinculada a uma conta administrativa. Assim, um invasor poderia baixar tabelas em massa.

Após reavaliar o incidente, a ShipMonk encontrou dados históricos que deveria ter eliminado. No entanto, a violação não alcançou os sistemas de carteiras da Trezor. Segundo a companhia, o ataque não comprometeu seus sistemas, produtos ou serviços, e os dispositivos permanecem seguros.

Exposição amplia risco de golpes direcionados

Os campos atingidos abrangem dados de contato e pedidos. Em contrapartida, o incidente não expôs frases de recuperação, chaves privadas ou fundos mantidos nas carteiras. Mesmo assim, a Trezor alertou para e-mails fraudulentos, telefonemas enganosos, cartas falsas e possíveis abordagens físicas.

A atualização de 4 de setembro não identificou ataques posteriores causados por esse conjunto de dados. Dessa forma, a empresa trata esses cenários como riscos, não como consequências confirmadas. A fabricante também enviou e-mails diretamente aos clientes recém-identificados.

Conforme a Trezor, quem não recebeu o aviso não integrou os grupos afetados. Também orientou os clientes a nunca compartilhar o backup da carteira nem inseri-lo em sites. O episódio evidencia que a proteção das chaves não elimina o rastro de compra criado durante a entrega.