Trezor zufolge informierte ShipMonk das Unternehmen am 2. September über eine Datenpanne beim Versanddienstleister, die etwa 67.000 weitere Kunden in den USA betraf, zusätzlich zu den zunächst gemeldeten knapp 14.000 Kunden. Die neu identifizierten Bestelldatensätze betreffen Käufe zwischen November 2019 und August 2021 und enthalten Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Bestellnummern. Trezor erklärte, seine Systeme seien nicht kompromittiert worden und seine Hardware-Wallets blieben sicher. Das Unternehmen informierte betroffene Kunden per E-Mail und warnte vor Phishing, betrügerischen Anrufen und Briefen sowie möglichen Risiken für die physische Sicherheit.
Warum das wichtig ist
Offengelegte Wohnadressen können einen Nutzer von Hardware-Wallets mit einem realen Standort und Kryptobesitz verknüpfen und so Risiken schaffen, die über Phishing hinausgehen. Trezor erklärte, das Unternehmen habe ShipMonk wiederholt aufgefordert, Kundendaten zu löschen, und schriftliche Zusicherungen erhalten, dass die Datensätze gemäß den vertraglichen Vereinbarungen und der Datenrichtlinie entfernt worden seien. Die erweiterte Offenlegung zeigt, dass die Daten in den Systemen von ShipMonk verblieben.
Dieses Versagen ist nicht nur für Trezor relevant. Eine Datenpanne bei Ledger legte 2020 Informationen von mehr als 270.000 Kunden offen, wobei Nutzer noch Jahre später von Betrugsanrufen und postalischen Schreiben berichteten.
Auswirkungen auf den Markt
Die unmittelbaren Auswirkungen betreffen Privatsphäre, persönliche Sicherheit und das Vertrauen in Logistikdienstleister, nicht die Sicherheit der Hardware-Wallets von Trezor. Namen, Kontaktdaten und Adressen liefern Betrügern Material für gezielte Social-Engineering-Angriffe, selbst wenn das Gerät selbst sicher bleibt.
Die nächste Bewährungsprobe ist, ob alle betroffenen Kunden legitime Kontaktaufnahmen erkennen können und ob sich die Zusicherungen von ShipMonk zur Datenlöschung überprüfen lassen. Für Nutzer von Hardware-Wallets zeigt der Vorfall, dass die Gerätesicherheit die Risiken offengelegter personenbezogener Daten nicht beseitigt.
Häufig gestellte Fragen
-
Welche Informationen enthielten die neu identifizierten ShipMonk-Datensätze?
Die Datensätze enthielten Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Bestellnummern aus Käufen zwischen November 2019 und August 2021.
-
Hat die ShipMonk-Datenpanne die Systeme von Trezor oder seine Hardware-Wallets kompromittiert?
Nein. Trezor erklärte, seine Systeme seien nicht kompromittiert worden und die Hardware-Wallets blieben sicher.
-
Warum bergen offengelegte Adressen zusätzliche Risiken für Nutzer von Hardware-Wallets?
Eine Wohnadresse kann einen Hardware-Wallet-Nutzer mit einem realen Standort und Kryptobesitz verknüpfen und dadurch neben Phishing auch Risiken für die physische Sicherheit schaffen.
-
Was sagte Trezor zu den Zusicherungen von ShipMonk zur Datenlöschung?
Trezor erklärte, es habe wiederholt die Löschung gefordert und schriftliche Zusicherungen erhalten, dass die Datensätze entfernt worden seien. Die erweiterte Offenlegung zeigte jedoch, dass die Daten in den Systemen von ShipMonk verblieben.
-
Wie unterschied sich die jüngste Offenlegung von Trezors ursprünglicher Zahl?
Trezor hatte zunächst knapp 14.000 betroffene Kunden gemeldet, bevor in der jüngsten Offenlegung etwa 67.000 weitere Kunden in den USA genannt wurden.
WuBlockchain
CryptoSlate
WatcherGuru
CoinTelegraph
CoinDesk