Trezor Says ShipMonk Breach Exposed 67,000 U.S. Customers Data It Said Was Deleted

Violation de données chez le prestataire logistique de Trezor

Le fabricant de portefeuilles matériels Trezor a été victime d’une fuite de données indirecte via son prestataire logistique, ShipMonk. Bien que les appareils eux-mêmes ne soient pas compromis, 67 000 clients américains ont vu leurs informations personnelles exposées, alors même que ces données auraient dû être supprimées par le prestataire.

Points clés :

• Données exposées : Noms, adresses e-mail, numéros de téléphone, adresses postales et numéros de commande (période 2019-2021).
• Origine : Une attaque de la chaîne d’approvisionnement (supply chain attack) menée par le groupe d’extorsion ShinyHunters.
• Négligence : ShipMonk n’a pas respecté les engagements contractuels de suppression des données clients après 90 jours.
• Vulnérabilité exploitée : CVE-2026-72898 (score CVSS 10.0), une faille critique d’injection SQL dans l’outil Metabase.

Recommandations pour les utilisateurs :

• Vigilance accrue : Être particulièrement méfiant face aux e-mails, appels téléphoniques ou courriers suspects utilisant les informations personnelles dérobées.
• Protection contre l’ingénierie sociale : Ne jamais divulguer de codes de récupération (seed phrases) ou de mots de passe, même en cas de communication semblant provenir officiellement de Trezor.
• Risques physiques : Les utilisateurs concernés doivent rester vigilants quant à leur sécurité physique, les adresses de livraison ayant été compromises.

Enseignements pour les entreprises :

• Renforcer le suivi de la sécurité chez les tiers et prestataires externes.
• S’assurer de la suppression effective des données clients conformément aux politiques de conservation et aux contrats.
• Maintenir une visibilité complète sur la surface d’exposition aux risques tiers (Third-Party Risk Management).

Source