Další den, další bezpečnostní výstraha. Výrobce hardwarových peněženek Trezor uvádí, že v důsledku narušení bezpečnosti u přepravního partnera Shipmonk došlo k úniku osobních údajů přibližně dalších 67 000 zákazníků z USA, a to poté, co záznamy, které podle Trezoru měly být smazány, zůstaly uloženy v systémech tohoto dodavatele.
Únik dat společnosti Trezor se dále rozšiřuje – ohroženo je dalších 67 000 zákazníků z USA
NAPSAL
SDÍLET
Hlavní body
- Společnost Trezor 4. září doplnila k úniku dat u Shipmonku dalších 67 000 amerických zákazníků.
- Únik dat společnosti Trezor se nyní týká přibližně 80 000 osob, včetně jejich domovských adres.
- Společnost Trezor plánuje zavést službu „Anonymous Delivery“ v USA do konce roku 2026.
Nově identifikované záznamy se týkají objednávek v USA zadaných v období od listopadu 2019 do srpna 2021 a rozšiřují tak incident, který již postihl 13 689 novějších zákazníků v několika zemích. Celkově se únik nyní týká přibližně 80 000 lidí, ačkoli systémy, zařízení, soukromé klíče a zálohy peněženek společnosti Trezor nebyly ohroženy.
Společnost Trezor zjistila, že únik dat se týká dalších 67 000 zákazníků v USA
V návaznosti na poslední zveřejnění společnost Trezor uvedla, že se 2. září dozvěděla, že únik dat u společnosti Shipmonk byl rozsáhlejší, než se původně uvádělo. Starší záznamy obsahují jména zákazníků, e-mailové adresy, telefonní čísla, doručovací adresy a čísla objednávek, což útočníkům poskytuje informace, díky nimž by podvody mohly být mnohem přesvědčivější.
Tento objev je obzvláště znepokojivý, protože společnost Trezor uvádí, že opakovaně žádala společnost Shipmonk o smazání těchto informací a obdržela písemné potvrzení, že byly odstraněny. Společnost Trezor uvedla, že tato ujištění byla v souladu s její smlouvou, zásadami nakládání s daty a předchozí komunikací s poskytovatelem logistických služeb.
To rovněž vyvolává otázky ohledně Trezorem inzerované 90denní politiky uchovávání údajů u partnerů zajišťujících logistiku. Nově objevené záznamy sahají několik let zpět, což ukazuje, že tato politika nebyla u dotčených amerických zákazníků z let 2019–2021 dodržována.
Únik adres rozšiřuje hrozbu nad rámec phishingových e-mailů
Odhalené informace neumožňují útočníkovi vzdálený přístup k peněžence Trezor. Součástí úniku nebyly soukromé klíče ani seed fráze, tedy tajná slova pro obnovení, která slouží k ovládání kryptoměnové peněženky.
Typ odhalených informací však představuje jiný problém. Společnost Trezor varovala, že uniklá telefonní čísla a domácí adresy by mohly potenciálně vystavit postižené zákazníky fyzickému riziku, zatímco skutečná čísla objednávek a kontaktní údaje by podvodníkům mohly pomoci přesvědčivěji se vydávat za společnost.
Únik dat měl původ mimo společnost Trezor. Útočníci zneužili dosud neznámou zranitelnost typu SQL-injection v platformě Metabase, analytické platformě používané společností Shipmonk. Společnost Metabase informovala Shipmonk kolem 6. srpna, opravila zranitelnost a zneplatnila relace, zatímco Shipmonk později vysvětlil, že své systémy zabezpečil.
Selhání dat třetích stran ohrožuje kupce hardwarových peněženek
Tento incident navazuje na další případy úniků dat u třetích stran, které se týkaly zákazníků společnosti Trezor. Incidentem z roku 2022 bylo postiženo přibližně 106 856 zákazníků, zatímco v roce 2024 došlo k úniku až 66 000 jmen a e-mailových adres v důsledku napadení portálu technické podpory. V žádném z těchto případů nedošlo k vzdálenému narušení samotných hardwarových peněženek.
Tento rozdíl je důležitý pro zákazníky, kteří se rozhodují, jak reagovat. Společnost Trezor varuje, že nikdo z firmy nebude žádat o zálohu peněženky, což znamená, že zákazníci by nikdy neměli zadávat svou seed frázi na webové stránce ani ji předávat někomu, kdo tvrdí, že poskytuje podporu.
Trezor prosazuje anonymní doručování, zatímco budoucnost Shipmonku visí na vlásku
Společnost Trezor nyní propaguje systém anonymního doručení, jehož cílem je snížit množství zákaznických údajů uchovávaných při nákupu hardwarových peněženek. Systém zahrnuje vyzvednutí v úschovně, neutrální balení, generického odesílatele a automatické smazání identifikačních údajů zásilky po doručení, přičemž spuštění v Evropě je plánováno na září a zavedení v USA na konec roku 2026.
Prozatím společnost Trezor neoznámila plány na ukončení spolupráce se společností Shipmonk. Společnost dříve uvedla, že o budoucnosti partnerství rozhodne až po získání úplného přehledu o incidentu, čímž ponechala toto rozhodnutí nevyřešené, i když známý počet postižených zákazníků se blíží 80 000. Tento problém navazuje na řadu znepokojivých incidentů s hardwarovými peněženkami, ke kterým došlo v roce 2026 a které se týkaly peněženek Safepal a Coldcard.
Tento článek byl přeložen z angličtiny pomocí umělé inteligence. Původní anglická verze je autoritativním zdrojem; automatické překlady mohou obsahovat nepřesnosti, zejména v právní a regulační terminologii.
