Trezor ยืนยันเมื่อวันพฤหัสบดีว่า มีการละเมิดที่ผู้ให้บริการขนส่งสินค้าแห่งหนึ่ง ส่งผลให้ข้อมูลส่วนตัวของลูกค้า 13,689 รายถูกเปิดเผย โดยข้อมูลที่ถูกขโมยคือ ชื่อ ที่อยู่บ้าน หมายเลขโทรศัพท์ และที่อยู่อีเมล
ไม่มี crypto ถูกโอนย้าย Trezor ระบุว่าระบบของตนเอง พร้อมกับอุปกรณ์และการสำรองกระเป๋าเงินของลูกค้า ไม่เคยถูกแตะต้อง ความเสียหายเกิดขึ้นกับผู้ให้บริการภายนอก
ข้อมูลใดที่รั่วไหลจากเหตุการณ์ข้อมูลรั่วของ Trezor
ShipMonk เป็นผู้จัดเก็บและจัดส่งออเดอร์ของ Trezor ในวันที่ 10 สิงหาคม ShipMonk แจ้ง Trezor ว่า มีผู้บุกรุกเข้าถึงระบบที่เก็บบันทึกข้อมูลลูกค้า
การรั่วไหลแบ่งออกเป็นสองกลุ่ม ลูกค้าจำนวน 11,742 รายสูญเสียข้อมูลทั้งหมด คือ ชื่อ อีเมล เบอร์โทรศัพท์ และที่อยู่สำหรับจัดส่งเต็มรูปแบบ ส่วนอีก 1,947 รายถูกเปิดเผยเพียงชื่อ เมือง และอีเมลเท่านั้น
เวลาคือปัจจัยที่ตัดสินว่าใครได้รับผลกระทบ การรั่วไหลนี้เกี่ยวข้องกับออเดอร์ที่ส่งถึงปลายทางระหว่างวันที่ 10 พฤษภาคม ถึง 8 สิงหาคมปีนี้ ในสหรัฐอเมริกา สหราชอาณาจักร สวีเดน โคลอมเบีย บราซิล อิตาลี และโปรตุเกส
ลูกค้าเก่ารอดพ้นได้ด้วยกฎข้อหนึ่ง Trezor บังคับให้พันธมิตรลบหรือทำให้ข้อมูลคำสั่งซื้อเป็นนิรนามหลังส่งมอบครบ 90 วัน ดังนั้นข้อมูลออเดอร์ก่อนหน้าจึงถูกลบไปแล้ว
มีวิธีตรวจสอบที่ง่ายมาก ลูกค้าที่ได้รับผลกระทบจะได้รับอีเมลจาก [email protected] หากไม่ได้รับอีเมลแสดงว่าไม่ได้รับผลกระทบ
มีรายละเอียดหนึ่งที่เจ็บปวด ShipMonk ถือใบรับรอง SOC 2 Type II ซึ่งเป็นมาตรฐานความปลอดภัยที่ผ่านการตรวจสอบอย่างเข้มข้น ทว่ายังถูกเจาะระบบจนได้
เหตุใดที่อยู่จริงรั่วไหลจึงอันตรายกว่าอีเมลรั่วไหล
แค่มีอีเมลอย่างเดียว แทบไม่ช่วยให้นักต้มตุ๋นทำอะไรได้ แต่เมื่อรวมชื่อ ที่อยู่บ้าน และเบอร์โทรศัพท์ จะเจาะจงแยกเป้าหมายเฉพาะตัวในฐานะผู้ซื้อ crypto ได้ชัดเจนยิ่งขึ้น
Trezor ได้อธิบายแผนการหลอกลวงไว้ชัดเจน มิจฉาชีพอาจส่งอีเมลปลอม โทรศัพท์ปลอม ส่งจดหมายฉ้อโกง หรือแอบอ้างเป็นธนาคาร บริษัทแลกเปลี่ยน หรือแม้แต่ Trezor เอง
ลักษณะนี้เคยเกิดขึ้นมาก่อน Ledger สูญเสียอีเมลลูกค้าราว 1 ล้านรายในเดือนกรกฎาคม 2020 โดยมีลูกค้าประมาณ 9,500 รายที่ข้อมูลที่อยู่ไปรษณีย์เต็มรูปแบบรั่วไหล และ จดหมายรหัสกู้คืนปลอม ถูกส่งถึงบ้านของพวกเขาหลายปีหลังจากนั้น
เมื่อเปรียบเทียบกับกรณีของ Trezor คราวนี้ ที่อยู่เต็มรูปแบบของ 11,742 คนถูกเปิดเผย มากกว่าผู้ใช้ Ledger ที่ถูกกระทบในปี 2020 ซึ่งมี 9,500 ราย
Pascal Gauthier ซีอีโอของ Ledger ได้เคยกล่าวถึงความกังวลนี้เมื่อปี 2020 และเหตุผลเหล่านั้นก็ยังใช้ได้ดีในปัจจุบัน
ไม่มีวิธีใดที่จะเชื่อมโยงข้อมูลที่รั่วไหลนี้กับเงินในกระเป๋าเงินของคุณ อ่าน ข้อความบางตอนในประกาศของ Ledger
ผู้โจมตีต่างจับตามองแบรนด์นี้มาโดยตลอด โดย โฆษณาหลอกลวงแบบฟิชชิ่งของ Trezor ล่าสุด ได้ปรากฏขึ้นไม่กี่วันก่อนที่จะมีการเปิดเผยข้อมูลนี้ ในขณะเดียวกัน กลโกงการโทรแกล้งเป็นฝ่ายสนับสนุน ก็ได้ดูดเงินไปจากผู้ถือ coin หลายล้าน USD ในปีนี้เช่นกัน
ผู้ให้บริการยังคงเป็นจุดอ่อนที่สำคัญ เหตุข้อมูลรั่วไหลของผู้ให้บริการชำระเงินของ Ledger ทำให้ข้อมูลคำสั่งซื้อของลูกค้าถูกเปิดเผยในเดือนมกราคม
เจ้าของ Trezor ควรทำอย่างไรตอนนี้
คำแนะนำนี้กระชับและได้ผล ควรถือว่าเรื่องเร่งด่วนเป็นสัญญาณเตือน และควรสอบทานสิ่งผิดปกติกับช่องทางอย่างเป็นทางการของ Trezor อยู่เสมอ อย่าป้อนข้อมูลสำรองกระเป๋าสตางค์ลงในเว็บไซต์เด็ดขาด
อย่าป้อนข้อมูลสำรองกระเป๋าสตางค์ลงในเว็บไซต์หรือแบ่งปันกับใครเป็นอันขาด Trezor ระบุไว้ในบล็อก
มี 2 สิ่งที่ควรปฏิบัติ ลดความเสี่ยงได้ในอนาคต ควรสั่งซื้อโดยใช้อีเมลที่ไม่ได้เชื่อมโยงกับชื่อจริงของท่าน และควรชำระเงินด้วยคริปโตถ้าเป็นไปได้
Trezor ยังสัญญาด้วยว่าจะมีตัวเลือก Anonymous Delivery โดยใช้จุดรับพัสดุและบรรจุภัณฑ์ที่เป็นกลาง ซึ่งจะเปิดให้บริการในสหภาพยุโรปภายในเดือนกันยายนนี้ และที่สหรัฐอเมริกาภายในสิ้นปี 2026
Trezor ระบุว่านี่เป็นการรั่วไหลครั้งแรกตั้งแต่ปี 2013 ที่มีการเปิดเผยหมายเลขโทรศัพท์และที่อยู่จัดส่งของลูกค้า อุปกรณ์ฮาร์ดแวร์ยังคงปลอดภัย แต่จุดอ่อนกลับไม่ใช่ตัวอุปกรณ์เลย เป็นเพียงกล่องที่ใช้ขนส่งเท่านั้น
