67 bin Trezor müşterisinin sipariş bilgisi daha sızdı

Trezor'un lojistik ortağı ShipMonk'ta yaşanan veri sızıntısının etki alanı, ABD'de geçmişte sipariş vermiş yaklaşık 67 bin müşteriyi kapsayacak şekilde genişledi. Yeni açığa çıkan bilgiler arasında isim, e-posta, telefon numarası, teslimat adresi ve sipariş numarası yer alıyor.

Wu Blockchain, 4'ünde (Türkiye saatiyle 13.06'da), Trezor'un ShipMonk olayının etki alanının genişlediğini duyurduğunu aktardı. Yeni etkilenen müşteriler, Kasım 2019 ile Ağustos 2021 arasında sipariş veren ABD'li kullanıcılardan oluşuyor.

Trezor daha önce 13 Ağustos'ta resmi blogunda, ShipMonk sistemine yetkisiz erişim nedeniyle 13.689 müşteri sipariş kaydının açığa çıktığını duyurmuştu. Bunlardan 11.742 kişinin adı, e-postası, telefon numarası ve teslimat adresi; 1.947 kişinin ise adı, şehri ve e-postası sızdırılmıştı.

O dönem etkilenen ülkeler ABD, İngiltere, İsveç, Kolombiya, Brezilya, İtalya ve Portekiz'di. Trezor müşterilerine ait 13.689 sipariş kaydının lojistik ortağı üzerinden sızdırıldığına dair önceki haberimizin ardından, bu kez geçmiş sipariş verileri de etki alanına dahil olmuş oldu.

Bu yeni açığa çıkma, önceki bildirimden farklı olarak eski sipariş verilerinin ShipMonk sistemlerinde kalmaya devam ettiğini gösteriyor. Trezor, ShipMonk'tan sözleşme ve veri politikaları gereğince ilgili verilerin silindiğine dair birden fazla kez yazılı onay aldığını, ancak söz konusu bilgilerin aslında ShipMonk sistemlerinde saklanmaya devam ettiğini açıkladı.

ShipMonk, Trezor ürünlerinin depolanması ve sevkiyatından sorumlu lojistik ortak konumunda. Donanım cüzdan gibi fiziksel ürünlerin dünya çapında gönderildiği bu tür işlerde, sipariş sürecinde isim, adres, iletişim bilgisi ve e-posta gibi teslimat verileri iş ortağı sistemlerinden geçiyor.

Trezor, kendi sisteminin ihlal edilmediğini ve donanım cüzdan cihazlarının güvende olduğunu belirtti. Bu olayda açığa çıkan, özel anahtar ya da cüzdan yedekleme bilgileri değil, sevkiyat sürecinde kullanılan sipariş bilgileri oldu.

Yine de donanım cüzdan alıcılarının adı, adresi ve iletişim bilgisinin birlikte sızması, riski basit bir spam düzeyinin ötesine taşıyabilir. Saldırganlar, Trezor'u, borsaları ya da bankaları taklit eden e-postalar, telefon aramaları ve sahte postalarla kullanıcılara yaklaşabilir.

Donanım cüzdan güvenliği ile müşteri bilgisi koruması aslında birbirinden ayrı konular. Cihaz ve özel anahtar güvende olsa bile, sevkiyat, ödeme ve müşteri desteği süreçlerinde iş ortaklarının sakladığı kişisel bilgiler açığa çıktığında kullanıcılar bambaşka bir riskle karşı karşıya kalıyor.

Trezor, etkilenen müşterilere ayrı bir e-posta gönderdi ve cüzdan yedekleme ifadesini web sitesine girmemeleri ya da başkalarıyla paylaşmamaları konusunda uyardı. Şirket ayrıca kullanıcılardan resmi blog ile resmi kanallardaki duyuruları karşılaştırmalarını istedi.

Bu olay, fiziksel ürüne dayalı kripto para saklama hizmetlerinin yapısal zafiyetini bir kez daha gündeme getiriyor. Çevrimiçi cüzdan saldırılarına karşı donanım cüzdan kullanılsa bile, ürünün satın alınması ve teslim alınması sürecinde geride kalan kişisel bilgilerin ayrı bir yönetim konusu olduğu görülüyor.