افشای اطلاعات ۶۷ هزار مشتری دیگر ترزور در پی گسترش نشت داده

افشای اطلاعات ۶۷ هزار مشتری دیگر Trezor در پی نقض امنیتی شرکت حمل‌ونقل

شرکت Trezor، تولیدکننده کیف پول‌های سخت‌افزاری، روز جمعه اعلام کرد که اطلاعات شخصی ۶۷ هزار مشتری دیگر این شرکت در پی نقض امنیتی در شرکت ارائه‌دهنده خدمات حمل‌ونقل ShipMonk افشا شده است. این اطلاعات شامل نام، آدرس ایمیل، شماره تلفن، آدرس منزل و شماره سفارشات مشتریان می‌شود.

جزئیات نقض امنیتی

تمامی این مشتریان در ایالات متحده سکونت دارند و سفارشات خود را بین نوامبر ۲۰۱۹ تا اوت ۲۰۲۱ ثبت کرده‌اند. این بدان معناست که برخی از اطلاعات افشا شده، نزدیک به هفت سال قدمت دارند. شرکت ShipMonk دو روز پیش این موضوع را به Trezor اطلاع داده است.

Trezor در بیانیه‌ای اعلام کرد: «دو روز پیش، ما به‌روزرسانی را از ارائه‌دهنده خدمات حمل‌ونقل خود، ShipMonk، دریافت کردیم. با اندوه فراوان به اطلاع می‌رسانیم که نقض امنیتی اخیر، مشتریان بیشتری را نسبت به آنچه در ابتدا تصور می‌شد، تحت تأثیر قرار داده است. ۶۷ هزار مشتری دیگر از ایالات متحده که بین نوامبر ۲۰۱۹ تا اوت ۲۰۲۱ سفارش داده بودند…»

این شرکت همچنین اعلام کرد که بارها از ShipMonk تأییدیه کتبی مبنی بر حذف این اطلاعات را دریافت کرده بود، مطابق با قرارداد و سیاست حفظ داده‌ها. Trezor از اینکه متوجه شده این اطلاعات حذف نشده‌اند، ابراز ناامیدی کرده است.

افزایش تعداد مشتریان متأثر

هنگامی که Trezor در ماه اوت این نقض امنیتی را فاش کرد، دامنه محدود آن را به سیاست حذف ۹۰ روزه اطلاعات نسبت داد که ادعا می‌کرد در قراردادهای شرکای لجستیکی خود گنجانده است. این ادعا اکنون به طور قابل توجهی ضعیف به نظر می‌رسد. تعداد مشتریان متأثر از ۱۳,۶۸۹ نفر به حدود ۸۰,۷۰۰ نفر افزایش یافته است.

عدم تأثیر بر سیستم‌های Trezor

سیستم‌های خود Trezor مورد نفوذ قرار نگرفته‌اند و دستگاه‌ها، کلیدهای خصوصی و نسخه‌های پشتیبان کیف پول‌ها دست‌نخورده باقی مانده‌اند. خطر اصلی این است که این اطلاعات، هویت صاحبان تأیید شده کیف پول‌های سخت‌افزاری را در آدرس‌های پستی مشخص فاش می‌کند. Trezor علاوه بر ایمیل‌ها، تماس‌ها و نامه‌های جعلی، به مشتریان متأثر در مورد خطرات امنیتی فیزیکی هشدار داده و مجدداً تأکید کرده است که هرگز نباید یک نسخه پشتیبان از کیف پول را به اشتراک گذاشت یا در وب‌سایتی وارد کرد.

سابقه حملات مشابه

پیش از این، در ماه فوریه، صاحبان کیف پول‌های سخت‌افزاری Trezor و رقیب آن Ledger نامه‌های جعلی دریافت کرده بودند که با هولوگرام، کدهای QR و امضاهای جعلی مدیران چاپ شده بود و از آنها می‌خواست یک بررسی امنیتی ساختگی را فعال کنند، در غیر این صورت دسترسی به کیف پول‌هایشان را از دست می‌دادند.

در آن زمان، دیوید سیهون بک، مشاور جرایم سایبری، به Decrypt گفته بود که نامه‌ای که حاوی نام و آدرس منزل باشد، نشان‌دهنده این است که «ما می‌توانیم شما را پیدا کنیم» و داده‌های سرقت شده سال‌ها مفید باقی می‌مانند، زیرا افراد به ندرت نقل مکان می‌کنند یا شماره تلفن خود را تغییر می‌دهند.

ریشه نفوذ و مظنونان

این نفوذ به یک نقص حیاتی تزریق SQL در ابزار تجزیه و تحلیل Metabase بازمی‌گردد که در ۶ اوت فاش شد و به مهاجمان غیرمجاز اجازه داد تا اعتبارنامه‌های پایگاه‌های داده متصل را سرقت کنند. شرکت‌های تولیدکننده لپ‌تاپ Framework و سازنده فرم Tally نیز در همین موج نفوذ قرار گرفتند. گزارش شده است که ShipMonk ایمیل‌های اخاذی منتسب به گروه ShinyHunters را دریافت کرده است، هرچند این نسبت هنوز تأیید نشده است.

اقدامات Trezor برای امنیت بیشتر

Trezor اعلام کرده است که در حال تلاش برای ارائه سریع‌تر گزینه تحویل ناشناس است. این گزینه شامل تحویل در قفسه‌های قفل‌شونده، بسته‌بندی خنثی و جزئیات فرستنده عمومی است تا خریداران نیازی به ارائه آدرس منزل نداشته باشند.