67.000 khách hàng Trezor bị lộ thêm thông tin đơn hàng

Hãng ví cứng Trezor xác nhận vụ rò rỉ dữ liệu tại đối tác hậu cần ShipMonk đã lan rộng, ảnh hưởng thêm khoảng 67.000 khách hàng Mỹ từng đặt hàng trong quá khứ. Thông tin bị lộ thêm gồm họ tên, email, số điện thoại, địa chỉ giao hàng và mã đơn hàng.

Theo Wu Blockchain đưa tin ngày 4 tháng 9 lúc 17:06 (giờ Việt Nam), Trezor thông báo phạm vi ảnh hưởng của sự cố ShipMonk đã mở rộng hơn so với công bố trước đó. Nhóm khách hàng bị ảnh hưởng thêm là những người Mỹ đặt hàng trong khoảng thời gian từ tháng 11/2019 đến tháng 8/2021.

Trước đó, ngày 13/8, Trezor từng thông báo trên blog chính thức rằng việc truy cập trái phép vào hệ thống của ShipMonk đã làm lộ 13.689 đơn hàng của khách. Trong số này, 11.742 khách hàng bị lộ họ tên, email, số điện thoại và địa chỉ giao hàng, còn 1.947 khách hàng bị lộ họ tên, thành phố và email.

Vào thời điểm đó, các quốc gia bị ảnh hưởng gồm Mỹ, Anh, Thụy Điển, Colombia, Brazil, Italy và Bồ Đào Nha. TokenPost từng đưa tin về vụ 13.689 đơn hàng của khách Trezor bị lộ do sự cố tại đối tác hậu cần này. Lần công bố mới cho thấy dữ liệu đơn hàng cũ cũng nằm trong phạm vi bị ảnh hưởng.

Điểm khác biệt của đợt lộ dữ liệu lần này là dữ liệu đơn hàng cũ vẫn còn lưu trên hệ thống của ShipMonk. Trezor cho biết công ty từng nhiều lần nhận được xác nhận bằng văn bản từ ShipMonk rằng dữ liệu liên quan đã bị xóa theo hợp đồng và chính sách dữ liệu, nhưng trên thực tế thông tin này vẫn được lưu trữ trong hệ thống của ShipMonk.

ShipMonk là đối tác hậu cần đảm nhận việc lưu kho và vận chuyển sản phẩm cho Trezor. Với mô hình kinh doanh gửi sản phẩm vật lý như ví cứng đi khắp thế giới, thông tin giao hàng gồm họ tên, địa chỉ, số điện thoại, email đều phải đi qua hệ thống của đối tác trong quá trình xử lý đơn hàng.

Trezor khẳng định hệ thống nội bộ của công ty không bị xâm nhập và các thiết bị ví cứng vẫn an toàn. Sự cố lần này chỉ liên quan đến thông tin đơn hàng dùng cho khâu giao vận, không phải khóa riêng tư hay dữ liệu sao lưu ví.

Tuy vậy, khi họ tên, địa chỉ và số điện thoại của người mua ví cứng bị lộ cùng lúc, rủi ro có thể vượt xa mức tin nhắn rác thông thường. Kẻ xấu có thể giả danh Trezor, sàn giao dịch hoặc ngân hàng để tiếp cận nạn nhân qua email, điện thoại hoặc thư giả.

Bảo mật thiết bị ví cứng và bảo vệ thông tin khách hàng là hai vấn đề tách biệt. Dù thiết bị và khóa riêng tư vẫn an toàn, người dùng vẫn có thể gặp rủi ro riêng nếu dữ liệu cá nhân do đối tác lưu trữ trong khâu giao hàng, thanh toán hay chăm sóc khách hàng bị lộ.

Trezor đã gửi email riêng cho các khách hàng bị ảnh hưởng, đồng thời khuyến cáo người dùng không nhập cụm từ khôi phục ví (backup phrase) lên bất kỳ website nào hay chia sẻ với người khác. Công ty cũng đề nghị khách hàng đối chiếu thông tin với blog chính thức và các kênh chính thức của Trezor trước khi tin theo bất kỳ hướng dẫn nào.

Bình luận: Sự cố lần này cho thấy điểm yếu mang tính cấu trúc của các dịch vụ lưu trữ tiền mã hóa gắn với sản phẩm vật lý. Dù người dùng chọn ví cứng để tránh các cuộc tấn công nhắm vào ví online, dữ liệu cá nhân phát sinh trong quá trình mua hàng và giao nhận vẫn là một lớp rủi ro cần được quản lý riêng.