Trezor amplió el alcance de la brecha de datos vinculada a ShipMonk y confirmó que otros 67.000 clientes de diferentes países quedaron expuestos, con información que incluye nombres, correos, teléfonos, direcciones y números de pedido.
La brecha de datos de Trezor es considerablemente mayor de lo informado inicialmente. El fabricante de billeteras de hardware confirmó este viernes que aproximadamente 67.000 clientes adicionales en Estados Unidos, Reino Unido, Suecia, Colombia, Brasil, Italia y Portugal fueron afectados por una filtración ocurrida en los sistemas de su proveedor logístico ShipMonk, elevando de forma sustancial el alcance del incidente revelado por primera vez en agosto.
Los nuevos registros corresponden a clientes que realizaron pedidos entre noviembre de 2019 y agosto de 2021. La información expuesta incluye nombres, direcciones de correo electrónico, números telefónicos, direcciones de envío y números de pedido.
Trezor aclaró que sus propios sistemas no fueron comprometidos y que sus billeteras de hardware continúan siendo seguras. Sin embargo, la compañía advirtió que la exposición de información personal, especialmente de domicilios, puede representar riesgos que van más allá de las tradicionales campañas de phishing.
El nuevo descubrimiento también coloca el foco sobre la gestión de datos de los proveedores externos utilizados por las empresas de criptomonedas y sobre las consecuencias que puede tener conservar información de clientes durante años.
TE PUEDE INTERESAR: Trezor sufre filtración de datos que expone a 14.000 clientes
La brecha de datos de Trezor alcanza a otros 67.000 clientes
Trezor informó que ShipMonk le comunicó el 2 de septiembre que el incidente de seguridad tenía un alcance mayor al que se había identificado inicialmente.
La primera revelación, realizada el 13 de agosto, había señalado que cerca de 14.000 clientes estaban afectados por la exposición de información personal.
Ahora, el proveedor logístico identificó aproximadamente 67.000 registros adicionales pertenecientes a clientes de Estados Unidos y otros países.
La información recientemente identificada se relaciona con pedidos realizados durante un período comprendido entre noviembre de 2019 y agosto de 2021. Los registros contienen cinco categorías principales de información:
- Nombre del cliente
- Correo electrónico
- Número de teléfono
- Dirección de envío
- Número de pedido
El nuevo dato modifica significativamente la dimensión del incidente, especialmente porque la información no se limita a identificadores digitales.
La presencia de direcciones físicas y números telefónicos introduce una dimensión de seguridad adicional para los usuarios afectados, particularmente en un sector donde la posesión de activos digitales puede convertir la información personal en un objetivo atractivo para los estafadores.
¿Qué información había quedado expuesta inicialmente?
Cuando Trezor informó por primera vez sobre la brecha, la compañía detalló dos grupos de clientes afectados.
Un total de 11.742 clientes habían quedado expuestos con sus nombres, correos electrónicos, números de teléfono y direcciones de envío.
Otros 1.947 clientes tuvieron expuestos sus nombres, ciudades y direcciones de correo electrónico.
En conjunto, esa primera comunicación representaba casi 14.000 clientes, una cifra que ahora resulta considerablemente menor frente al nuevo grupo de aproximadamente 67.000 personas identificado por ShipMonk.
La diferencia no es menor. La actualización implica que el incidente no fue simplemente una ampliación marginal del problema inicial, sino una revisión importante de la cantidad de información histórica que permanecía disponible en los sistemas del proveedor.
ShipMonk debía eliminar los datos después de 90 días
Uno de los elementos más relevantes del caso está relacionado con la política de conservación de información.
Trezor explicó que, durante su relación con ShipMonk, había solicitado repetidamente que los datos fueran eliminados. La compañía aseguró que recibió confirmaciones por escrito de que la información había sido borrada de acuerdo con las obligaciones contractuales, las políticas de datos y las comunicaciones previas entre ambas empresas.
Sin embargo, la nueva investigación demostró que esa eliminación no se había producido completamente.
“Estamos muy decepcionados de que, pese a recibir esta confirmación, los datos no fueran eliminados de sus sistemas”, señaló Trezor al explicar la situación.
La compañía también había establecido una política según la cual los socios encargados del cumplimiento de pedidos debían eliminar o anonimizar los datos de las órdenes 90 días después de la entrega.
Ese mecanismo tenía como objetivo limitar precisamente el riesgo asociado con conservar información personal durante largos períodos.
El hecho de que los registros correspondientes a pedidos de entre 2019 y 2021 hayan sido posteriormente identificados en los sistemas del proveedor plantea, por tanto, una cuestión central en el incidente: la diferencia entre las políticas de eliminación de datos y su aplicación efectiva por parte de terceros.
Trezor asegura que sus billeteras no fueron comprometidas
Para los usuarios de Trezor, existe una diferencia fundamental entre la filtración de información personal y un compromiso directo de los dispositivos o sistemas utilizados para proteger las criptomonedas.
La compañía aseguró que sus propios sistemas no fueron vulnerados y que sus billeteras de hardware permanecen seguras.
Por lo tanto, el incidente descrito no implica que las claves privadas de los usuarios hayan quedado expuestas como consecuencia de esta brecha.
El riesgo principal está relacionado con la información personal obtenida por terceros.
Trezor confirmó que envió comunicaciones a los clientes afectados por la nueva revelación y les pidió mantenerse especialmente atentos ante posibles intentos de fraude.
TE PUEDE INTERESAR: TENGA CUIDADO: Billeteras Ledger falsas están siendo fabricadas en China
El principal riesgo ahora son las estafas dirigidas
La exposición de un correo electrónico puede facilitar campañas de phishing. Sin embargo, disponer simultáneamente del nombre, número telefónico y dirección física de una persona permite construir ataques mucho más personalizados.
Trezor advirtió a los clientes sobre posibles:
- Correos electrónicos fraudulentos
- Llamadas telefónicas de estafadores
- Cartas físicas
- Intentos de suplantación de identidad
- Riesgos relacionados con la seguridad física
Este último punto es especialmente relevante.
Una campaña genérica de phishing puede enviarse a miles de personas sin que el atacante conozca demasiado sobre ellas. En cambio, cuando un delincuente dispone de información asociada con una compra específica y una dirección de envío, puede construir un mensaje que aparente estar directamente relacionado con esa operación.
La información sobre el número de pedido puede contribuir además a hacer que una comunicación fraudulenta parezca legítima.
Por esa razón, una filtración de datos de clientes de una empresa de hardware wallets no debe evaluarse únicamente desde la perspectiva de la seguridad informática de los dispositivos.
El precedente de Ledger muestra por qué las direcciones físicas importan
El caso recuerda a una brecha sufrida por Ledger en 2020, que afectó a más de 270.000 clientes.
En aquel incidente fueron expuestos nombres, direcciones de correo electrónico y números telefónicos y, en algunos casos, direcciones físicas. Posteriormente, parte de esa información fue publicada en un foro utilizado por hackers.
El precedente resulta especialmente relevante porque los clientes de Ledger continuaron reportando años después la recepción de llamadas fraudulentas y cartas físicas.
La comparación permite dimensionar una de las características más delicadas de las filtraciones de información en la industria cripto: los datos personales pueden conservar valor para los atacantes mucho tiempo después de que ocurra el incidente original.
Una dirección de correo electrónico puede cambiarse o protegerse con nuevas medidas. Una dirección residencial, en cambio, representa un dato mucho más persistente.
¿Qué significa la brecha para los clientes de Trezor?
Para los usuarios afectados, la principal preocupación inmediata no es que sus criptomonedas hayan sido transferidas directamente como consecuencia de la filtración, sino que sus datos puedan utilizarse para intentar engañarlos.
La advertencia de Trezor adquiere especial importancia porque los atacantes pueden intentar aprovechar el conocimiento de que una persona adquirió una billetera de hardware.
Un correo, llamada o carta que mencione una supuesta actualización del dispositivo, un problema con un pedido antiguo o una falsa verificación de seguridad podría parecer más creíble si contiene información real del cliente.
Por ello, el hecho de que Trezor no haya sufrido una intrusión en sus propios sistemas no elimina la necesidad de que los usuarios mantengan precauciones.
La seguridad de los activos digitales depende también de proteger las credenciales, reconocer comunicaciones sospechosas y evitar entregar información sensible ante solicitudes inesperadas.
El problema va más allá de Trezor: la seguridad de los proveedores
El incidente también plantea una cuestión más amplia para la industria de criptomonedas.
Las empresas pueden mantener sistemas internos robustos y, aun así, quedar expuestas a través de proveedores que participan en procesos secundarios como logística, almacenamiento, atención al cliente o cumplimiento de pedidos.
En este caso, la brecha se produjo en ShipMonk, el proveedor encargado de gestionar información relacionada con los pedidos.
Eso significa que la seguridad de los usuarios no depende exclusivamente de las medidas implementadas por el fabricante de la billetera.
La gestión de terceros se convierte en una parte esencial del modelo de seguridad.
El caso de Trezor muestra además que establecer contractualmente un período máximo para conservar datos no garantiza por sí solo que la información desaparezca de todos los sistemas. La existencia de confirmaciones escritas de eliminación y el posterior descubrimiento de registros históricos demuestra la importancia de verificar que las políticas de retención se ejecuten realmente.
Una filtración que cambia de dimensión con el paso del tiempo
La evolución del incidente resulta particularmente significativa.
Trezor inicialmente informó de una exposición cercana a 14.000 clientes. Posteriormente, ShipMonk identificó aproximadamente 67.000 afectados adicionales, relacionados con información histórica de varios años.
Esto demuestra cómo una investigación sobre una filtración puede evolucionar a medida que se revisan sistemas, bases de datos y registros antiguos.
Para los usuarios, significa que una primera comunicación sobre el alcance de un incidente no necesariamente representa la cifra definitiva.
En el caso de Trezor, la compañía ya confirmó que los clientes afectados por la nueva revelación fueron contactados directamente.
El episodio deja así dos mensajes distintos. El primero es que las billeteras de hardware de Trezor no fueron comprometidas, según la propia compañía. El segundo es que la exposición de datos personales puede crear riesgos independientes para los usuarios, incluso cuando las claves y los dispositivos permanezcan protegidos.
TE PUEDE INTERESAR: Usuarios de Trezor fueron atacado con correos de phishing
La seguridad cripto también depende de los datos que rodean al usuario
La nueva revelación de Trezor convierte una filtración inicialmente estimada en cerca de 14.000 clientes en un incidente mucho más amplio, con aproximadamente 67.000 personas adicionales afectadas.
El elemento más sensible no es únicamente la cantidad de registros, sino el tipo de información involucrada: nombres, correos, teléfonos, direcciones físicas y números de pedido.
Para Trezor, el episodio supone además una advertencia sobre la dependencia de proveedores externos y sobre la necesidad de que las políticas de eliminación de datos sean verificables en la práctica.
Para los usuarios, el riesgo se encuentra principalmente en el uso posterior de esos datos para campañas de fraude, phishing, llamadas o comunicaciones físicas dirigidas.
Y aunque la compañía insiste en que sus sistemas no fueron comprometidos y que sus dispositivos continúan siendo seguros, el incidente demuestra una realidad cada vez más importante en el ecosistema cripto: proteger los activos digitales no consiste únicamente en proteger las claves privadas; también implica controlar quién tiene acceso a la información que revela que esos activos existen.
