La violation de données de Trezor vient de prendre une ampleur bien plus grande. Le fabricant de portefeuilles matériels a confirmé le 4 septembre qu’environ 67 000 clients américains supplémentaires ont été touchés par un incident de sécurité lié à son prestataire d’expédition, ShipMonk, portant le nombre total d’utilisateurs affectés bien au-delà de ce que l’entreprise avait divulgué quelques semaines plus tôt. Le chiffre révisé transforme ce qui ressemblait à un incident contenu en l’une des expositions de données par un tiers les plus graves que le secteur des portefeuilles matériels crypto ait connues cette année.
Points clés
Trezor a déclaré qu’environ 67 000 clients américains supplémentaires avaient été touchés par la violation de données de ShipMonk, en plus des quelque 14 000 initialement signalés en août.
Les enregistrements exposés couvrent des commandes passées entre novembre 2019 et août 2021 et incluent des noms, des e-mails, des numéros de téléphone, des adresses d’expédition et des numéros de commande.
Trezor a indiqué qu’il avait demandé à plusieurs reprises à ShipMonk de supprimer les données et qu’il avait reçu une confirmation écrite que celles-ci avaient été supprimées — mais les données n’ont en réalité jamais été effacées.
Les propres systèmes et portefeuilles matériels de Trezor n’ont pas été compromis, selon la société.
Tous les nouveaux clients touchés ont été informés par e-mail et avertis des risques d’arnaques et de préoccupations liées à la sécurité physique.
La violation de données élargie de ShipMonk touche plus de 67 000 clients de Trezor aux États-Unis
Le périmètre de la violation de données de Trezor s’est considérablement élargi après que ShipMonk a informé l’entreprise, le 2 septembre, que l’incident était bien plus important que ce qui avait d’abord été rapporté. Trezor a d’abord divulgué la violation le 13 août, indiquant qu’environ 14 000 clients avaient vu leurs informations personnelles exposées. Ce chiffre a maintenant augmenté de 67 000 clients américains supplémentaires, selon la propre déclaration de Trezor et des informations rapportées par Cointelegraph et TheStreet.
En combinant avec la divulgation initiale, le nombre total d’utilisateurs de Trezor touchés dans le monde s’élève désormais à plus de 80 000, d’après les chiffres communiqués par TheStreet. Le lot d’août s’était déjà réparti en 11 742 clients exposés avec des données complètes — noms, e-mails, numéros de téléphone et adresses d’expédition — et 1 947 clients exposés partiellement, avec des informations limitées à des noms, des villes et des adresses e-mail.
Ce n’est pas la première fois que Trezor doit avertir de grands groupes d’utilisateurs des risques liés au phishing. En janvier 2024, la société a indiqué, selon Cointelegraph, qu’environ 66 000 utilisateurs ayant contacté son service client depuis décembre 2021 faisaient face à une exposition potentielle au phishing. La récurrence de notifications clients à grande échelle soulève des questions sur la façon dont les prestataires tiers gèrent des données sensibles d’expédition et de commande bien après la fin des transactions.
Détails et chronologie des données clients exposées
Les enregistrements nouvellement identifiés couvrent près de deux ans d’activités de clients, avec des commandes passées entre novembre 2019 et août 2021. Pour les clients américains concernés, les champs exposés comprennent les noms complets, les adresses e-mail, les numéros de téléphone, les adresses d’expédition et les numéros de commande — suffisamment de détails pour mener des tentatives de phishing convaincantes ou, dans des cas plus inquiétants, pour cibler directement l’adresse du domicile de quelqu’un.
Cet ensemble de données compte parce que les portefeuilles matériels sont des dispositifs physiques liés à de vraies adresses. Contrairement à un mot de passe volé, une adresse d’expédition divulguée n’expire pas et ne peut pas être réinitialisée. Historiquement, des attaquants ayant accès aux noms, aux détails des commandes et aux adresses personnelles ont utilisé ces informations non seulement pour des arnaques par e-mail, mais aussi pour des appels téléphoniques ciblés et même des lettres physiques conçues pour paraître officielles.
Efforts de suppression des données de Trezor et non-conformité de ShipMonk
Pourquoi des données provenant de commandes de 2019 existaient-elles encore en 2026 ? Trezor dit que cela ne devrait pas être le cas. La société a déclaré avoir demandé à plusieurs reprises à ShipMonk de supprimer les données clients pendant toute la durée de leur relation commerciale et avoir reçu des assurances écrites — conformément à leur contrat et à la politique de données de Trezor — indiquant que les informations avaient été supprimées.
Non. « Nous sommes très déçus que, malgré la réception de cette confirmation, les données n’aient pas été supprimées dans leurs systèmes », a déclaré Trezor dans sa divulgation. Cette seule phrase résume l’essentiel de la défaillance au cœur de cet incident : une demande de suppression, documentée et répétée, qui n’a tout simplement pas été respectée du côté du fournisseur.
Dans sa divulgation initiale d’août, Trezor a noté que le périmètre initial de la violation était une contrainte de politique, obligeant les partenaires de traitement à supprimer ou à rendre anonymes toutes les données de commande dans les 90 jours suivant la livraison. La mise à jour de septembre précise que cette politique existait sur le papier, mais qu’elle n’a pas été appliquée de manière cohérente dans la pratique — du moins pas pour les lots de commandes plus anciens qui font désormais surface.
Pourquoi c’est important : cet épisode rappelle que la posture de sécurité d’une entreprise n’est aussi solide que son sous-traitant tiers le plus faible. Le matériel et le firmware de Trezor n’ont jamais été touchés, mais les clients ont quand même été exposés parce qu’un partenaire d’expédition a conservé des données qu’il était contractuellement tenu de supprimer.
Impact sur la sécurité et notifications aux clients
Sur un point, Trezor a été clair : sa propre infrastructure n’a pas été compromise, et les portefeuilles matériels restent sécurisés. La violation est née entièrement du côté de ShipMonk, touchant des enregistrements de commandes et d’expédition plutôt que des phrases mnémoniques, des clés privées ou le firmware d’un appareil.
Mais Trezor a quand même envoyé un e-mail à chaque client touché par la divulgation la plus récente et l’a averti de rester vigilant face aux e-mails frauduleux, aux appels téléphoniques illégitimes et aux lettres suspectes. La société a aussi signalé d’éventuels risques pour la sécurité physique liés à des adresses de domicile exposées — un avertissement qui fait écho aux inquiétudes soulevées après des incidents similaires ailleurs dans le secteur des wallets matériels.
Le précédent le plus pertinent est la violation de Ledger en 2020, qui a exposé des informations appartenant à plus de 270 000 clients, notamment des noms, des e-mails, des numéros de téléphone et, dans certains cas, des adresses personnelles publiées par la suite sur un forum de piratage. Des années plus tard, des clients de Ledger continuent de signaler des appels téléphoniques frauduleux et des courriers physiques faisant référence à ces données divulguées — un schéma qui montre à quel point les conséquences de telles violations peuvent durer.
C’est exactement pourquoi les chercheurs en sécurité considèrent les données d’expédition exposées différemment d’une fuite de mot de passe classique. Les tentatives de phishing liées aux portefeuilles matériels de crypto ont tendance à persister pendant des années, et non quelques semaines, parce que les attaquants savent que les victimes possèdent probablement encore les appareils associés aux commandes divulguées.
FAQ
Combien de clients de Trezor ont été touchés par la violation de données de ShipMonk ?
Au départ, environ 14 000 clients ont été signalés comme touchés. Après la mise à jour de ShipMonk, environ 67 000 clients américains supplémentaires ont été identifiés comme impactés, portant le total largement au-delà de 80 000 dans le monde.
Quelles données clients ont été compromises dans la violation de ShipMonk ?
Les données exposées incluent les noms des clients, leurs e-mails, leurs numéros de téléphone, leurs adresses d’expédition et leurs numéros de commande pour des commandes passées entre novembre 2019 et août 2021.
Les propres systèmes ou portefeuilles matériels de Trezor ont-ils été compromis ?
Non. Trezor a indiqué que ses propres systèmes n’ont pas été compromis et que ses portefeuilles matériels restent sécurisés. La violation était limitée aux données d’expédition et de commande détenues par ShipMonk.
Quelles actions Trezor a-t-il menées après la découverte de la violation ?
Trezor a demandé à plusieurs reprises à ShipMonk de supprimer les données clients et a reçu des assurances écrites indiquant que cela avait été fait. Après avoir appris que les données n’avaient en réalité pas été supprimées, l’entreprise a informé tous les clients concernés et les a avertis des risques d’arnaques et de la sécurité physique.
Article produit avec l’assistance de l’intelligence artificielle et relu par l’équipe éditoriale.