ابعاد گسترده نفوذ امنیتی در ترزور؛ اطلاعات ۶۷ هزار مشتری دیگر افشا شد

شرکت ترزور (Trezor)، تولیدکننده کیف پول‌های سخت‌افزاری ارز دیجیتال، در بیانیه جدیدی اعلام کرد که ابعاد رخنه امنیتی در ارائه‌دهنده خدمات لجستیکی آن یعنی شیپ مانک (ShipMonk)، بسیار وسیع‌تر از برآوردهای اولیه است

نفوذ امنیتی ترزور و افشای اطلاعات ۶۷ هزار مشتری

بر اساس گزارش‌های جدید، اطلاعات شخصی ۶۷ هزار مشتری دیگر در ایالات متحده که بین نوامبر ۲۰۱۹ تا اوت ۲۰۲۱ اقدام به سفارش محصول کرده بودند، فاش شده است. این موضوع در حالی فاش می‌شود که پیش از این تعداد قربانیان تنها ۱۳,۶۸۹ نفر اعلام شده بود.

اطلاعات فاش شده شامل نام، آدرس ایمیل، شماره تلفن و آدرس محل سکونت مشتریان است. نکته نگران‌کننده اینجاست که برخی از این داده‌ها متعلق به ۷ سال پیش بوده و طبق قرارداد باید توسط شرکت واسط حذف می‌شدند. با این حال، ترزور تأکید کرده است که امنیت فیزیکی دستگاه‌ها و کلیدهای خصوصی کاربران در خطر نیست و این نفوذ تنها محدود به پایگاه داده شرکت حمل‌ونقل بوده است.

خلف وعده شرکت واسط و خطرات فیشینگ

ترزور اعلام کرد که پیش از این چندین بار از شرکت شیپ مانک تأییدیه کتبی مبنی بر حذف داده‌های مشتریان دریافت کرده بود، اما اکنون مشخص شده که این اطلاعات برخلاف سیاست‌های قراردادی همچنان در سیستم‌های آن‌ها باقی مانده بود. این شرکت در بیانیه رسمی خود در شبکه اجتماعی X (توییتر سابق) گفت:

ما بسیار ناامید هستیم که با وجود دریافت تأییدیه‌های رسمی، داده‌ها از سیستم‌های آن‌ها حذف نشده بود.

هشدار به کاربران در مورد حملات مهندسی اجتماعی

با احتساب آمار جدید، تعداد کل کاربران آسیب‌دیده از این حادثه به بیش از ۸۰ هزار نفر می‌رسد. اگرچه موجودی ارز دیجیتال کاربران در خطر مستقیم نیست، اما افشای اطلاعات هویتی، آن‌ها را در معرض حملات فیشینگ پیچیده، تماس‌های تلفنی کلاهبرداری و حتی تهدیدات امنیتی فیزیکی قرار می‌دهد. ترزور به تمامی افراد تحت تأثیر ایمیل زده و هشدار داده است که نسبت به هرگونه پیام مشکوک یا نامه‌های پستی غیرمنتظره به شدت هوشیار باشند.

نفوذ امنیتی ترزور؛ چه اطلاعاتی فاش شد؟

شرکت ترزور در بیانیه جدید خود اعلام کرد ابعاد رخنه امنیتی در شیپ مانک (ShipMonk)، ارائه‌دهنده خدمات لجستیکی‌اش، بسیار وسیع‌تر از برآوردهای اولیه است. بر اساس گزارش‌های تازه، اطلاعات شخصی ۶۷ هزار مشتری دیگر در ایالات متحده که بین نوامبر ۲۰۱۹ تا اوت ۲۰۲۱ سفارش محصول ثبت کرده بودند، فاش شده است.

این در حالی است که پیش از این تعداد قربانیان تنها ۱۳,۶۸۹ نفر اعلام شده بود. اطلاعات فاش‌شده شامل نام، آدرس ایمیل، شماره تلفن و آدرس محل سکونت مشتریان است؛ یعنی دقیقاً همان داده‌هایی که برای جلب اعتماد یک کاربر در تماس یا پیام جعلی کافی است.

آنچه در خطر نیست: کلیدهای خصوصی و دستگاه‌ها

نکته مهم برای دارندگان کیف پول سخت‌افزاری این است که ترزور تأکید کرده امنیت فیزیکی دستگاه‌ها و کلیدهای خصوصی کاربران در خطر نیست و این نفوذ تنها محدود به پایگاه داده شرکت حمل‌ونقل بوده است. به عبارت دیگر، این یک رخنه در زنجیره تأمین اطلاعات تماس است، نه در معماری امنیتی کیف پول.

با این حال، همین داده‌های ظاهراً ساده خطر واقعی دارند. افشای اطلاعات هویتی کاربران را در معرض حملات فیشینگ پیچیده، تماس‌های تلفنی کلاهبرداری و حتی تهدیدات امنیتی فیزیکی قرار می‌دهد؛ زیرا مهاجم می‌داند طرف مقابل واقعاً مشتری یک کیف پول سخت‌افزاری بوده است.

خلف وعده شرکت واسط و مسئولیت داده‌ها

ترزور اعلام کرد پیش از این چندین بار از شیپ مانک تأییدیه کتبی مبنی بر حذف داده‌های مشتریان دریافت کرده بود، اما اکنون مشخص شده این اطلاعات برخلاف سیاست‌های قراردادی همچنان در سیستم‌های آن‌ها باقی مانده بود. نکته نگران‌کننده اینجاست که برخی از این داده‌ها متعلق به ۷ سال پیش بوده و طبق قرارداد باید توسط شرکت واسط حذف می‌شدند.

این شرکت در بیانیه رسمی خود در شبکه اجتماعی X نوشت که بسیار ناامید است، زیرا با وجود دریافت تأییدیه‌های رسمی، داده‌ها از سیستم‌های شیپ مانک حذف نشده بود. این ماجرا نشان می‌دهد سپردن داده مشتری به پیمانکار، مسئولیت را از بین نمی‌برد و نظارت دوره‌ای بر حذف داده‌ها ضروری است.

هشدار به کاربران: چگونه از فیشینگ در امان بمانیم؟

با احتساب آمار جدید، تعداد کل کاربران آسیب‌دیده از این حادثه به بیش از ۸۰ هزار نفر می‌رسد. ترزور به تمامی افراد تحت تأثیر ایمیل زده و هشدار داده است نسبت به هرگونه پیام مشکوک یا نامه‌های پستی غیرمنتظره به شدت هوشیار باشند.

قاعده ساده اما مهم این است که هیچ پشتیبانی معتبری عبارت بازیابی یا کلید خصوصی را درخواست نمی‌کند. هر پیامی که با ایجاد فوریت، کاربر را به کلیک روی لینک یا ورود عبارت بازیابی دعوت کند، مستقل از اینکه چقدر معتبر به نظر برسد، باید مشکوک تلقی شود.

بیشتر بخوانید: کشف آسیب‌پذیری در کیف پول سخت‌افزاری ترزور؛ آیا دارایی کاربران در خطر است؟

پرسش‌های متداول درباره نفوذ امنیتی ترزور

در این نفوذ امنیتی چه تعداد مشتری تحت تأثیر قرار گرفتند؟

اطلاعات ۶۷ هزار مشتری دیگر در ایالات متحده فاش شد. با احتساب آمار قبلی که ۱۳,۶۸۹ نفر بود، تعداد کل کاربران آسیب‌دیده به بیش از ۸۰ هزار نفر می‌رسد.

آیا کلیدهای خصوصی یا دارایی کاربران در خطر است؟

خیر. ترزور تأکید کرده امنیت فیزیکی دستگاه‌ها و کلیدهای خصوصی در خطر نیست و نفوذ تنها محدود به پایگاه داده شرکت حمل‌ونقل شیپ مانک بوده است.

چه داده‌هایی از مشتریان فاش شد؟

نام، آدرس ایمیل، شماره تلفن و آدرس محل سکونت مشتریانی که بین نوامبر ۲۰۱۹ تا اوت ۲۰۲۱ سفارش ثبت کرده بودند. برخی از این داده‌ها متعلق به ۷ سال پیش بوده و باید طبق قرارداد حذف می‌شدند.

کاربران برای جلوگیری از فیشینگ چه باید کنند؟

نسبت به پیام‌های مشکوک و نامه‌های پستی غیرمنتظره هوشیار باشند، هیچ‌گاه عبارت بازیابی یا کلید خصوصی را در اختیار کسی قرار ندهند و مستقل از معتبر به نظر رسیدن پیام، روی لینک‌های ناشناس کلیک نکنند.

جمع‌بندی

نفوذ امنیتی در شیپ مانک نشان داد زنجیره تأمین داده می‌تواند به ضعیف‌ترین حلقه امنیتی یک برند تبدیل شود. افشای اطلاعات ۶۷ هزار مشتری دیگر و رسیدن شمار قربانیان به بیش از ۸۰ هزار نفر، ابعاد این حادثه را بزرگ‌تر از برآورد اولیه کرد. با وجود امن بودن کلیدهای خصوصی، داده‌های هویتی افشاشده می‌توانند نقطه شروع فیشینگ و کلاهبرداری باشند؛ بنابراین هوشیاری کاربران و نظارت بر پیمانکاران داده، هر دو بخشی از راه‌حل هستند.