Un accesso non autorizzato ai sistemi del partner logistico ShipMonk ha esposto nomi e contatti di quasi 13.700 acquirenti. Trezor assicura che dispositivi, chiavi private e backup non sono stati coinvolti, ma avverte del rischio di phishing mirato.
Trezor ha comunicato che un accesso non autorizzato ai sistemi di ShipMonk, uno dei suoi partner logistici, ha esposto i dati personali di 13.689 clienti. Secondo l’avviso pubblicato dall’azienda, l’indagine sulla violazione è ancora in corso.
Per 11.742 persone sono stati esposti nome completo, indirizzo email, numero di telefono e indirizzo di spedizione. Altri 1.947 clienti hanno subito un’esposizione parziale di nome, città ed email. Trezor precisa che quest’ultimo gruppo potrebbe includere anche ordini più vecchi, un dettaglio che sta ancora verificando con ShipMonk.
Il perimetro principale riguarda gli ordini ricevuti tra il 10 maggio e l’8 agosto 2026 negli Stati Uniti, nel Regno Unito, in Svezia, Colombia, Brasile, Italia e Portogallo. ShipMonk ha informato Trezor dell’incidente il 10 agosto. La conservazione dei dati limitata a 90 giorni, imposta anche ai partner di fulfillment, ha ridotto il numero di ordini presenti nei sistemi coinvolti.
La violazione non ha interessato i sistemi di Trezor, i dispositivi, le chiavi private o i backup dei wallet. In questo caso il pericolo concreto è il phishing mirato. Nomi, email, telefoni e indirizzi permettono a un truffatore di costruire messaggi più credibili, anche impersonando Trezor, una banca o un exchange. L’azienda ha scritto direttamente alle persone coinvolte dall’indirizzo [email protected] e ricorda di non condividere mai il backup del wallet né inserirlo in un sito. Gli episodi della falsa app Ledger e della violazione di un fornitore di LastPass mostrano quanto la catena esterna possa diventare il punto d’ingresso.
Trezor sta lavorando a una consegna più riservata con ritiro in locker, imballaggio neutro e cancellazione automatica degli identificativi di spedizione, prevista nell’Unione europea entro settembre 2026 e negli Stati Uniti entro fine anno. La politica dei 90 giorni ha contenuto la platea esposta, ma i dati già sottratti restano fuori dal controllo dell’azienda.
