Trezor a confirmé que 67 000 autres clients ont été exposés à une violation provenant d'un prestataire logistique, avec des enregistrements remontant à 2019 malgré la limite de conservation convenue.
Faites de nous votre source préférée sur
gsoitsoitgjeet
Le Violation de données Trezor s'est aggravée : le fabricant de portefeuilles physiques a confirmé que 67 000 autres clients ont vu leurs données exposées lors d'un incident provenant d'un prestataire logistique tiers, bien au-dessus du chiffre initial. L'affaire, qui concernait initialement près de 14 000 utilisateurs, s'est considérablement étendue et a révélé des informations qui, selon l'entreprise, seraient protégées.
Selon les informations publiées par Trezor, la violation s'est produite chez un partenaire chargé de l'expédition de ses produits, et non dans les systèmes internes de l'entreprise. La société insiste sur le fait que la sécurité des appareils et des clés privées des utilisateurs reste intacte, puisque ce fournisseur n'a jamais eu accès aux fonds ni aux conditions de récupération.
Ce que révèle la violation de données Trezor
Le détail le plus inconfortable de l’incident est l’âge des enregistrements compromis. Certaines des données exposées remontent à 2019, soit des années au-delà de la période de conservation de 90 jours que Trezor, selon Trezor, avait accepté de respecter. Cet écart soulève des questions sur la manière dont les données clients sont réellement gérées et supprimées une fois qu'elles quittent les systèmes de l'entreprise.
Les informations divulguées correspondraient aux données de contact et d’expédition – le type d’enregistrements gérés par une entreprise de logistique – et non aux informations d’identification donnant accès aux crypto-monnaies. Pourtant, ce type de données a une valeur évidente pour les attaquants : avec des noms, des adresses et des adresses e-mail liés à l’achat d’un portefeuille physique, un criminel sait exactement qui cibler ses campagnes de phishing personnalisées.
Le média Decrypt, qui a fait état de l'élargissement de l'affaire, et les précédents rapports de la presse spécialisée ont évalué la portée initiale à près de 14 000 clients. Le chiffre révisé porte le total à des dizaines de milliers de personnes touchées et confirme que l'évaluation initiale était insuffisante.
Le vrai risque : les campagnes de phishing ciblées
Pour les utilisateurs de portefeuilles physiques, le danger derrière une telle violation est rarement un vol pur et simple. Le vecteur habituel est l'ingénierie sociale : des emails ou des messages usurpant l'identité de Trezor, alertant d'un supposé problème de sécurité et poussant la victime à saisir sa phrase de récupération sur un faux site. Quiconque connaît le modèle de l'appareil et les informations de l'acheteur peut rendre cette tromperie beaucoup plus crédible.
C’est pourquoi il convient de rappeler une règle que l’industrie elle-même répète ad nauseam : aucune entreprise légitime ne demandera jamais la phrase de départ par e-mail, par chat ou par téléphone. Cette séquence de mots constitue la clé principale des fonds et ne doit être saisie dans l'appareil lui-même que lorsque l'utilisateur décide de restaurer son portefeuille.
Cet épisode survient à un moment où l’on s’intéresse de plus en plus à la fraude dans le secteur. Récemment, des bourses comme Binance ont dû mettre en garde contre des vagues de phishing par SMS, tandis que les autorités des États-Unis et du Royaume-Uni ont renforcé leur coopération contre les centres mondiaux d'escroqueries cryptographiques. L’exposition des données clients alimente directement ce type d’opérations.
Recommandations pour les utilisateurs concernés
- Méfiez-vous de tout e-mail, SMS ou appel prétendant provenir de Trezor et demandant une action urgente.
- Ne saisissez jamais la phrase de récupération sur les pages Web ou les formulaires en ligne.
- Vérifiez les adresses des expéditeurs et accédez-y uniquement via le site officiel écrit manuellement.
- Activez toutes les couches de protection disponibles et examinez périodiquement l’activité du compte.
Une question de confiance dans la supply chain
Au-delà du nombre de personnes concernées, la fuite de données Trezor pointe un problème structurel : la dépendance à l'égard de tiers pour des tâches telles que la logistique, le service client ou le marketing. Une entreprise peut protéger ses propres serveurs, mais son exposition aux risques est aussi importante que le maillon le plus faible de ses fournisseurs. Le fait que les enregistrements de 2019 aient été conservés, apparemment contrairement à ce qui avait été convenu, suggère que le contrôle sur ces partenaires n'était pas aussi strict qu'annoncé.
Pour une marque dont l’argumentaire de vente est précisément la garde et la sécurité souveraines, chaque incident de ce type touche là où il fait le plus mal : la confiance. Trezor prétend informer les clients concernés et collaborer avec le fournisseur impliqué pour limiter les dommages. Le véritable test sera de savoir comment renforcer la gestion des données avec vos partenaires externes, car la prochaine campagne de phishing ciblée tirera bientôt parti des informations déjà exposées.
Voir l’article original en espagnol
