Trezor alerta 13.689 clientes sobre vazamento de dados de envio

A Trezor notificou 13.689 clientes sobre a exposição de dados pessoais em uma violação envolvendo a ShipMonk, empresa terceirizada responsável por armazenar e enviar os pedidos das carteiras físicas. O acesso não autorizado foi informado à fabricante na segunda-feira, 10 de agosto, e afeta quem recebeu uma encomenda na janela de três meses encerrada em 8 de agosto.

O que vazou foram dados de cadastro, não chaves.

O que a violação expôs

As informações alcançadas formam o pacote que a loja guarda para entregar uma encomenda, nome, endereço, telefone, e-mail e número do pedido. A Trezor contabilizou 11.742 clientes com o pacote completo exposto e outros 1.947 com dados parciais, apenas nome, cidade e e-mail, segundo o comunicado oficial da fabricante.

Os pedidos atingidos foram entregues entre 10 de maio e 8 de agosto para compradores de sete países, Brasil, Colômbia, Estados Unidos, Itália, Portugal, Reino Unido e Suécia.

A ShipMonk é a parceira de logística da fabricante de carteiras, o que significa que ela guarda o nome do comprador, o endereço de entrega e o telefone para colocar a caixa na porta do cliente. O contrato entre as empresas exige que os dados sejam apagados ou anonimizados 90 dias após a entrega.

A cláusula de retenção curta limitou o estrago.

Como os registros antigos já tinham sido deletados, o alcance parou em pouco mais de 13 mil pessoas em vez de toda a base de pedidos desde a criação da loja. A Trezor afirma que é a primeira exposição desse tipo desde 2013.

A empresa reforçou que os sistemas próprios não foram comprometidos e que as carteiras físicas permanecem seguras, já que a violação não tocou frases de recuperação, saldos ou credenciais de acesso. Os clientes afetados receberam um e-mail oficial de notificação enviado pela própria Trezor.

O risco do phishing e a defesa

A fabricante alerta que as informações vazadas devem alimentar tentativas de golpe direcionadas. Com nome, endereço, telefone e a confirmação de que a pessoa comprou uma carteira de criptomoedas, um golpista consegue montar mensagens convincentes, ligações falsas e até cartas impressas se passando por bancos, corretoras ou pela própria Trezor.

A investigação do caso segue em andamento, e a empresa ainda não explicou como o acesso aconteceu, quanto tempo durou ou se os dados já apareceram à venda.

A defesa prática é a mesma de sempre, jamais informar a sequência de recuperação fora do aparelho, desconfiar de qualquer contato não solicitado que mencione uma compra recente e conferir atualizações apenas nos canais oficiais da Trezor. O caso também acende um alerta para o setor como um todo, já que fornecedores logísticos viraram alvo de ataques e a cadeia de envio virou o elo fraco de empresas que protegem bem os próprios sistemas.

A Trezor prometeu uma opção de entrega anônima para reduzir o problema no futuro, com checkout separado, retirada em armários e remetente genérico, prevista para a União Europeia em setembro e para os Estados Unidos até o fim do ano.