Trezor informó que una filtración de datos en su proveedor logístico, ShipMonk, afectó a un total de 81,000 clientes, exponiendo nombres, correos y direcciones. El incidente ocurrió debido a una vulnerabilidad en la plataforma Metabase y al incumplimiento de ShipMonk en borrar los datos según el contrato. Aunque los dispositivos Trezor permanecen seguros, la empresa advierte a los usuarios sobre un mayor riesgo de ataques de *phishing*.

• El fabricante de billeteras de hardware de criptomonedas Trezor afirma que una brecha de datos ocurrida en agosto en su proveedor de envíos y logística, ShipMonk, afecta a 67,000 clientes adicionales en los EE. UU.

En total, la brecha ha afectado a 81,000 clientes después de que Trezor revelara inicialmente el 13 de agosto que los atacantes accedieron a los datos de casi 14,000 clientes, incluyendo sus nombres completos, direcciones de envío, direcciones de correo electrónico y números de teléfono.

Como explicó la empresa en su momento, el incidente también afectó a clientes en Brasil, Colombia, Italia, Portugal, Suecia y el Reino Unido que recibieron pedidos entre el 10 de mayo y el 8 de agosto de 2026.

El viernes, publicó una actualización para confirmar que el impacto de la brecha se ha expandido después de que ShipMonk no eliminara los datos expuestos de sus sistemas, tal como lo requería el contrato y la política de datos de Trezor.

"Otros 67,000 clientes de los EE. UU. que realizaron pedidos entre noviembre de 2019 y agosto de 2021 se vieron afectados, quedando expuestos sus datos completos (nombre, correo electrónico, número de teléfono, dirección de envío, número de pedido)", dijo Trezor aquí.

"A lo largo de toda nuestra relación con ShipMonk, solicitamos y recibimos repetidamente garantías por escrito que confirmaban la eliminación de los datos, de acuerdo con nuestro contrato, política de datos y comunicaciones anteriores. Estamos muy decepcionados de que, a pesar de recibir esta confirmación, los datos no fueran eliminados de sus sistemas".

La empresa añadió que la brecha no afectó a sus operaciones ni servicios, que sus sistemas no fueron comprometidos y que todos los dispositivos Trezor son seguros.

También advirtió a los clientes afectados que tengan cuidado con cualquier mensaje que solicite información personal, ya que podrían ser blanco de ataques de phishing.

"Tenga en cuenta el aumento del riesgo de phishing. La información filtrada podría usarse para correos electrónicos de estafa, llamadas o cartas fraudulentas, y podría exponer potencialmente a las personas afectadas a riesgos de seguridad física", dijo Trezor aquí.

Campaña de metabase vinculada a la banda de extorsión shinyhunters

Aunque la empresa aún no ha compartido cómo se vulneraron los sistemas de ShipMonk, los correos electrónicos de notificación de brechas enviados a los clientes afectados indicaron que los atacantes explotaron una vulnerabilidad en la plataforma de análisis de terceros Metabase.

Metabase reveló que los actores de amenazas explotaron una vulnerabilidad crítica de inyección SQL de día cero para vulnerar instancias de clientes y llevar a cabo ataques de robo de datos tras obtener acceso de administrador a la instancia comprometida.

También se ha sabido que ShipMonk ha recibido correos electrónicos de extorsión de la banda de extorsión ShinyHunters.

La lista de empresas afectadas en la campaña de Metabase incluye la plataforma de creación de formularios en línea Tally y el fabricante de portátiles Framework, que también han notificado a sus clientes sobre brechas de datos después de que sus instancias fueran secuestradas.

En enero de 2024, Trezor reveló otra brecha de datos después de que actores de amenazas comprometieran su portal de tickets de soporte de terceros y accedieran a datos (por ejemplo, nombres, nombres de usuario y direcciones de correo electrónico) de aproximadamente 66,000 usuarios.

Estos datos robados fueron utilizados posteriormente en ataques de phishing intentando robar las semillas de recuperación de billetera de 24 palabras de los destinatarios.

Fuente:
BleepingComputer