Trezor เปิดเผยว่ามีลูกค้าในสหรัฐอเมริกาอีก 67,000 รายที่ได้รับผลกระทบจากเหตุข้อมูลรั่วไหลที่ผู้ให้บริการขนส่งสินค้า ส่งผลให้ยอดผู้ได้รับผลกระทบที่ยืนยันแล้วเพิ่มขึ้นเกิน 80,000 ราย
ประเด็นสำคัญ
- ลูกค้าในสหรัฐฯ เพิ่มอีก 67,000 ราย ถูกเปิดเผยข้อมูลคำสั่งซื้อ ครบชุด ดันยอดผู้ได้รับผลกระทบขึ้นเกิน 80,000 ราย
- ข้อมูลที่เพิ่งถูกค้นพบครอบคลุมคำสั่งซื้อตั้งแต่พฤศจิกายน 2019 ถึงสิงหาคม 2021
- Trezor ยืนยันว่าระบบ อุปกรณ์ คีย์ส่วนตัว และข้อมูลสำรองกระเป๋าเงิน ไม่ถูกเจาะหรือเข้าถึง
วิกฤตข้อมูลรั่วไหลของ Trezor ลุกลาม
ในอัปเดตเมื่อวันที่ 4 กันยายน Trezor ระบุ ว่าพบลูกค้าในสหรัฐฯ อีก 67,000 รายที่ข้อมูลถูกเปิดเผย จากคำสั่งซื้อที่ทำระหว่างเดือนพฤศจิกายน 2019 ถึงสิงหาคม 2021
ข้อมูลที่รั่วไหลประกอบด้วยชื่อ ที่อยู่อีเมล หมายเลขโทรศัพท์ ที่อยู่สำหรับจัดส่ง และเลขที่คำสั่งซื้อ ลูกค้าที่ได้รับผลกระทบชุดใหม่ทั้งหมดได้รับอีเมลแจ้งเตือนแล้ว
ฝั่ง ShipMonk ผู้ให้บริการโลจิสติกส์ของ Trezor ยังคงเก็บบันทึกคำสั่งซื้อเหล่านี้ไว้ แม้ Trezor จะระบุว่าได้ร้องขอให้ลบข้อมูลซ้ำหลายครั้ง และได้รับเอกสารยืนยันเป็นลายลักษณ์อักษรแล้วว่ามีการลบข้อมูลตามสัญญาและนโยบายข้อมูล “เรา失หวังอย่างมากที่แม้จะได้รับการยืนยันดังกล่าว ข้อมูลกลับไม่ได้ถูกลบออกจากระบบของพวกเขา” Trezor ระบุ
เหตุการณ์นี้ทำให้ยอดผู้ได้รับผลกระทบที่ยืนยันแล้วขยับขึ้นเกิน 80,000 ราย ก่อนหน้านี้ในการแจ้งเตือนเดือนสิงหาคม Trezor เปิดเผยว่ามีลูกค้า 11,742 รายที่ข้อมูลชื่อ อีเมล เบอร์โทรศัพท์ และที่อยู่จัดส่งรั่วไหล ขณะที่อีก 1,947 รายมีข้อมูลรั่วไหลในวงจำกัดกว่านั้น
อ่านเพิ่มเติม: บิตคอยน์ปิดเดือนดีที่สุดตั้งแต่ปี 2024 แต่ Fidelity ยังไม่กล้าฟันธงว่าผ่านจุดต่ำสุดแล้ว
ความเสี่ยงด้านความปลอดภัยคริปโต
Trezor ย้ำว่าระบบของบริษัทเองไม่ได้ถูกบุกรุก เหตุการณ์นี้ไม่กระทบต่อคีย์ส่วนตัว (private keys) ข้อมูลสำรองกระเป๋าเงิน หรือความลับในตัวอุปกรณ์ กระเป๋าเงินฮาร์ดแวร์ของบริษัทจึงยังถือว่าปลอดภัยตามเดิม
ความเสี่ยงหลักจึงอยู่ที่ข้อมูลลูกค้าที่รั่วไหล ซึ่งช่วยให้ผู้โจมตีระบุตัวเจ้าของกระเป๋าฮาร์ดแวร์ได้ง่ายขึ้น และนำไปออกแบบกลโกงที่ดูสมจริงจากข้อมูลส่วนตัวที่มีอยู่
Trezor เตือนให้ผู้ใช้ที่ได้รับผลกระทบระวังอีเมลปลอม โทรศัพท์หลอกลวง และจดหมายทางไปรษณีย์ที่แอบอ้าง รวมถึงชี้ให้เห็นความเสี่ยงด้านความปลอดภัยเชิงกายภาพที่เพิ่มขึ้น ทำให้เหตุการณ์นี้รุนแรงกว่าปัญหาความปลอดภัยของบัญชีออนไลน์ทั่วไป
บริษัทความปลอดภัย TRM Labs เคยให้ความเห็นว่า การเก็บสินทรัพย์ด้วยตนเอง (self-custody) ไม่ได้ตัดความเสี่ยงทิ้ง แต่เป็นการย้ายจุดเสี่ยงไปส่วนอื่นของห่วงโซ่ความปลอดภัย ในกรณีนี้ ตัวกระเป๋าเงินอาจยังปลอดภัยดี แต่บันทึกการจัดส่งกลับไปเปิดเผยตัวตน ช่องทางติดต่อ และที่อยู่บ้านของผู้ถือครอง
เหตุการณ์ถูกเปิดเผยครั้งแรกเมื่อวันที่ 13 สิงหาคม เมื่อ Trezor แจ้งว่าเหตุรั่วไหลที่ ShipMonk กระทบลูกค้าราว 13,689 ราย และในตอนแรกผูกโยงข้อมูลส่วนใหญ่กับคำสั่งซื้อใหม่ภายใต้นโยบายเก็บข้อมูล 90 วัน
การค้นพบภายหลังว่ามีบันทึกย้อนหลังไปถึงปี 2019 แสดงให้เห็นว่าข้อมูลลูกค้าเก่ายังคงอยู่ในระบบของ ShipMonk แม้ Trezor จะกำหนดให้ต้องมีการลบข้อมูลตามข้อกำหนดของบริษัท
อ่านต่อ: iPhone Ultra อาจทำราคาเฉลี่ยแตะ 2,550 ดอลลาร์ หนุน Apple เขย่าตลาดมือถือจอพับ
