Trezor confirma mais 67 mil clientes expostos no vazamento de dados

A Trezor confirmou nesta sexta-feira que o vazamento de dados na ShipMonk é seis vezes maior do que o anunciado em agosto. Outros 67 mil clientes dos Estados Unidos tiveram informações pessoais expostas, todos com pedidos feitos entre novembro de 2019 e agosto de 2021.

O novo lote chegou ao conhecimento da fabricante dois dias antes do comunicado, quando a ShipMonk, que guarda os produtos e processa os envios da loja, repassou um levantamento dos registros que ainda estavam armazenados em seus servidores. A Trezor tornou a descoberta pública hoje e atualizou a página oficial do incidente no mesmo dia. Com a atualização, o total de afetados salta de 13.689 para mais de 80 mil, naquela que a própria empresa descreve como a primeira vez, desde a fundação em 2013, que um incidente alcança o endereço e o telefone de compradores.

A revelação constrange a Trezor por um motivo específico. O contrato entre as empresas determinava que a ShipMonk apagasse os registros 90 dias depois de cada entrega, e a fabricante diz ter recebido, ao longo dos anos de parceria, confirmações por escrito de que essa exclusão era cumprida.

Os registros de 2019 a 2021 deveriam ter desaparecido há anos, e permaneceram.

O pacote de dados expostos é o mesmo do primeiro anúncio, nome, e-mail, telefone, endereço de entrega e número do pedido. A Trezor contata os clientes recém-identificados um a um por e-mail, e a ausência da mensagem na caixa de entrada significa, segundo a empresa, que o dado não fez parte do vazamento. A lista é enxuta, mas combina o essencial para localizar alguém e confirmar o que essa pessoa comprou, e é justamente essa combinação que dá valor ao conjunto no mercado de dados roubados.

A Trezor reafirmou que nenhum sistema próprio foi comprometido e que as carteiras físicas seguem seguras, já que frases de recuperação, saldos e credenciais nunca passaram pela infraestrutura da parceira. O risco está menos no aparelho e mais no perfil que o vazamento constrói de cada comprador.

A origem do ataque e o prazo que não foi cumprido

O incidente começou com um zero-day no Metabase, plataforma de análise de dados usada internamente pela ShipMonk. O vetor foi uma injeção de SQL, classe de falha com pontuação máxima na escala de gravidade, explorada no início de agosto, o que deu ao invasor o controle administrativo do banco de dados. Na sequência, o grupo de extorsão ShinyHunters enviou e-mails cobrando resgate da empresa de logística. Foi esse episódio que levou a ShipMonk a avisar a Trezor, em 10 de agosto, sobre o acesso não autorizado aos sistemas. O Metabase é o tipo de ferramenta de gestão interna que raramente entra no radar das avaliações de segurança de um varejista.

Na primeira contagem, divulgada em meados de agosto, o problema parecia circunscrito. Foram 11.742 clientes com o pacote completo de dados exposto e outros 1.947 com informações parciais, apenas nome, cidade e e-mail. O número baixo tinha na política de retenção a sua explicação oficial, com o argumento de que registros antigos já não existiam mais nos servidores da parceira.

A nova leva desmonta essa explicação.

Se dados de pedidos fechados até agosto de 2021 sobreviveram cinco anos em servidores de terceiros, as confirmações por escrito de exclusão não correspondiam ao que existia de fato nos sistemas. A empresa disse estar decepcionada com o descumprimento, e o termo é literal, aparece na nota oficial.

A Trezor não divulgou se realizou, em algum momento, verificações técnicas nos servidores da parceira para confirmar as exclusões prometidas em contrato.

O nome de quem compra uma carteira para se proteger virou o dado mais valioso do vazamento.

Quem comprou um aparelho em 2020 e nunca recebeu qualquer alerta agora sabe que nome, telefone e endereço de casa circulam fora de controle. São registros que descrevem com precisão quem guarda criptomoedas, informação valiosa para golpes direcionados e para a violência física que tem crescido contra holders. O golpe típico usa a confirmação da compra como gancho de credibilidade, imitando o suporte de um banco, de uma corretora ou da própria Trezor, e o contato chega com dados corretos demais para parecer falso.

O alerta que acompanha o vazamento

A orientação da fabricante é dupla. Desconfiar de qualquer contato não solicitado que mencione a compra, seja por e-mail, telefone ou carta, e jamais compartilhar a frase de recuperação com ninguém, nem digitá-la em qualquer site.

Como resposta estrutural, a Trezor apressa a entrega anônima, modalidade que retira o nome do comprador da etiqueta de envio e já havia sido prometida para a Europa em setembro e para os Estados Unidos até o fim do ano. Do lado da ShipMonk, os sistemas afetados foram isolados e reforçados após o incidente. A mudança reduz o problema futuro, mas não alcança os dados que já escaparam. Enquanto isso, a janela de perigo imediato segue aberta, porque o uso de dados roubados costuma levar semanas para aparecer em forma de golpes.

O caso da Trezor se soma ao da SafePal, que em agosto expôs quase 40 mil clientes por um bug em plugin de rastreamento. Em menos de um mês, dois incidentes com fabricantes de carteiras físicas expuseram cadastros de mais de 120 mil compradores, sem registro de perda de fundos em nenhum dos casos.