A Trezor confirmou nesta quinta-feira que uma falha de segurança em uma de suas empresas de logística expôs dados pessoais de 13.689 clientes. Foram obtidos nomes, endereços residenciais, números de telefone e e-mails.
Nenhuma cripto foi movimentada. Segundo a Trezor, seus próprios sistemas, dispositivos e backups das carteiras dos clientes não foram acessados. O incidente ocorreu com um fornecedor externo.
O que o vazamento de dados da Trezor expôs?
A ShipMonk armazena e envia os pedidos da Trezor. Em 10 de agosto, comunicou à Trezor que um invasor teve acesso a sistemas contendo registros de clientes.
O vazamento teve dois impactos. Aproximadamente 11.742 compradores tiveram todos os dados acessados: nome, e-mail, telefone e endereço completo. Outros 1.947 tiveram expostos apenas nome, cidade e e-mail.
O momento da compra foi determinante. O vazamento abrange pedidos entregues entre 10 de maio e 8 de agosto deste ano em Estados Unidos, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal.
Clientes mais antigos não foram afetados devido a uma política interna. A Trezor exige que parceiros excluam ou anonimem os dados dos pedidos 90 dias após a entrega, assim, envios mais antigos já haviam sido removidos.
Há um teste simples. Quem foi afetado recebeu um e-mail do endereço [email protected]. Se não recebeu, não teve os dados expostos.
Um ponto chama atenção: a ShipMonk possui certificação SOC 2 Tipo II, padrão auditado de segurança, mas sofreu a falha mesmo assim.
Por que vazamento de endereço é mais grave que de e-mail?
Ter apenas o e-mail oferece poucas opções ao golpista. Nome, endereço residencial e telefone juntos têm peso maior, pois identificam quem comprou cripto em uma localização específica.
A Trezor detalhou os possíveis riscos. Golpistas podem enviar e-mails fraudulentos, fazer ligações falsas, enviar cartas inexistentes ou se passar por banco, exchange ou até pela própria Trezor.
Esse tipo de situação já aconteceu antes. A Ledger teve expostos cerca de 1 milhão de e-mails de clientes em julho de 2020. Aproximadamente 9.500 desses compradores também tiveram endereço completo vazado, e cartas falsas sobre frases de recuperação chegaram a essas residências anos depois.
Agora, a dimensão do caso é maior. O vazamento da Trezor expôs endereço completo de 11.742 pessoas, acima dos 9.500 atingidos da Ledger em 2020.
O CEO da Ledger, Pascal Gauthier, respondeu ao mesmo temor em 2020, e a lógica continua válida.
“… não existe maneira de fazer qualquer correlação entre os dados vazados e os fundos na sua carteira”, dizia um trecho no comunicado da Ledger.
Os criminosos já monitoravam a marca. Um anúncio recente de phishing usando a Trezor surgiu poucos dias antes desta divulgação. Separadamente, golpes de suporte falso por telefone causaram prejuízo de milhões a investidores neste ano.
Mais uma vez, fornecedores externos demonstram ser a principal fragilidade do setor. Um incidente no processador de pagamentos da Ledger expôs dados de pedidos de clientes em janeiro.
O que fazer agora se você tem Trezor?
As recomendações são diretas e eficazes. Desconfie de qualquer senso de urgência. Verifique contato suspeito pelos canais oficiais da Trezor. Nunca digite o backup da carteira em sites.
“… nunca insira o backup da sua carteira em um site nem compartilhe com terceiros”, escreveu a Trezor em um post em seu blog.
Duas práticas ajudam a evitar novos riscos: usar e-mail que não contenha seu nome real ao comprar e, sempre que possível, realizar os pagamentos com cripto.
A Trezor também anunciou futura opção de Entrega Anônima, baseada em retirada em lockers e embalagem neutra. O lançamento está previsto para União Europeia até setembro e para Estados Unidos até o fim de 2026.
A Trezor afirma que este é o primeiro vazamento desde 2013 a expor números de telefone e endereços de entrega dos clientes. O hardware permaneceu seguro. O ponto vulnerável não foi o dispositivo, mas a caixa em que chegou.
