Trezor indique que 67 000 clients américains supplémentaires ont été exposés à la suite d’une faille chez son prestataire logistique, portant le total connu des personnes touchées à plus de 80 000.
Points clés :
- 67 000 clients américains de plus ont vu l’intégralité de leurs données de commande exposées, portant le total connu à plus de 80 000.
- Les nouveaux dossiers identifiés couvrent la période de novembre 2019 à août 2021.
- Trezor affirme que ses systèmes, ses appareils, les clés privées et les sauvegardes de portefeuilles n’ont pas été compromis.
Une brèche Trezor plus vaste que prévu
Dans une mise à jour publiée le 4 septembre, Trezor a indiqué que 67 000 clients américains supplémentaires étaient concernés, leurs données étant associées à des commandes passées entre novembre 2019 et août 2021.
Les informations exposées comprennent les noms, adresses e‑mail, numéros de téléphone, adresses postales et numéros de commande. L’ensemble des nouveaux clients impactés ont été avertis par e‑mail.
ShipMonk, le prestataire logistique de Trezor, avait conservé ces données alors même que Trezor affirme avoir réitéré ses demandes de suppression et obtenu des confirmations écrites que les informations avaient été effacées, conformément au contrat et à sa politique de gestion des données. « Nous sommes extrêmement déçus de constater que, malgré ces confirmations, les données n’avaient pas été supprimées de leurs systèmes », a déploré Trezor.
Avec cette nouvelle découverte, le nombre total de clients concernés dépasse désormais les 80 000. Dans un avis publié en août, Trezor faisait état de 11 742 clients dont les noms, e‑mails, numéros de téléphone et adresses de livraison avaient été exposés, tandis que 1 947 autres voyaient des données plus limitées compromises.
À lire aussi : Bitcoin signe son meilleur mois depuis 2024, mais Fidelity refuse d’y voir un point bas
Risques accrus pour la sécurité crypto
Trezor insiste sur le fait que ses propres systèmes n’ont pas été piratés et que l’incident n’a pas exposé les clés privées, les sauvegardes de portefeuilles ni les secrets matériels de ses appareils. Le fabricant de portefeuilles physiques assure que ses wallets restent sûrs sur le plan technique.
Le principal danger réside dans la fuite de données clients, qui permet à des acteurs malveillants d’identifier les détenteurs de portefeuilles matériels et de monter des arnaques très ciblées, s’appuyant sur des informations paraissant authentiques.
Trezor met en garde les personnes affectées contre l’envoi probable de faux e‑mails, d’appels téléphoniques frauduleux et de courriers physiques, en soulignant aussi les menaces potentielles sur la sécurité des personnes et de leurs domiciles. La brèche dépasse ainsi le cadre d’un simple problème de sécurité de compte en ligne.
La société de cybersécurité TRM Labs rappelle que l’auto‑garde ne supprime pas le risque, mais le déplace vers d’autres maillons de la chaîne de sécurité. Dans ce cas précis, le portefeuille peut rester techniquement protégé tandis que les données d’expédition dévoilent l’identité, les coordonnées et l’adresse personnelle du propriétaire.
L’incident a été révélé pour la première fois le 13 août, lorsque Trezor avait indiqué que la faille chez ShipMonk touchait environ 13 689 clients et semblait, à ce stade, concerner principalement des commandes récentes, couvertes par une politique de conservation limitée à 90 jours.
La découverte ultérieure de dossiers remontant à 2019 montre cependant que des données clients bien plus anciennes sont restées stockées dans les systèmes de ShipMonk, en contradiction avec les exigences de suppression formulées par Trezor.
