Trezor ने गुरुवार को कन्फर्म किया कि उसके एक शिपिंग पार्टनर में हुई ब्रीच से 13,689 कस्टमर्स का पर्सनल डेटा एक्सपोज़ हो गया है। इसमें नाम, घर का पता, फोन नंबर और ईमेल एड्रेस शामिल हैं।
कोई भी क्रिप्टो ट्रांसफर नहीं हुआ है। Trezor का कहना है कि उनके खुद के सिस्टम्स, डिवाइस और कस्टमर वॉलेट बैकअप्स बिलकुल सुरक्षित हैं। ब्रीच का असर बाहर के एक वेंडर पर पड़ा है।
Trezor डेटा ब्रीच में क्या-क्या एक्सपोज़ हुआ?
ShipMonk, Trezor के ऑर्डर्स को स्टोर और शिप करता है। 10 अगस्त को ShipMonk ने Trezor को बताया कि उनकी कस्टमर रिकॉर्ड्स वाली सिस्टम्स तक एक इंट्रूडर पहुंच गया था।
डेटा एक्सपोज़र दो हिस्सों में बंटा है। लगभग 11,742 खरीदारों की सारी डिटेल्स—नाम, ईमेल, फोन नंबर और फुल शिपिंग एड्रेस—लीक हो गए। बाकी 1,947 यूज़र्स के सिर्फ नाम, सिटी और ईमेल एक्सपोज़ हुए हैं।
टाइमिंग यानी ऑर्डर की तारीख से तय होता है कौन-कौन इसमें शामिल है। यह लीक इस साल 10 मई से 8 अगस्त के बीच US, UK, Sweden, Colombia, Brazil, Italy और Portugal में डिलीवर हुए ऑर्डर्स को कवर करता है।
पुराने खरीदारों को एक रूल की वजह से यह असर नहीं पड़ा। Trezor अपने पार्टनर्स को 90 दिनों बाद ऑर्डर डेटा डिलीट या अनोनिमाइज़ करने के लिए कहता है, इसलिए इससे पहले के शिपमेंट्स का डेटा पहले ही डिलीट हो चुका था।
एक सिंपल टेस्ट है—जिन कस्टमर्स का डेटा लीक हुआ है, उन्हें [email protected] से ईमेल मिला है। अगर आपको ऐसा मेल नहीं मिला, तो आपकी डिटेल्स सेफ हैं।
एक बात चुभती है—ShipMonk के पास SOC 2 Type II सर्टिफिकेशन है, जो एक ऑडिटेड सिक्योरिटी स्टैंडर्ड है, और उसके बावजूद ब्रीच हो गया।
लीक हुआ पता, लीक हुई ईमेल से ज्यादा खतरनाक क्यों?
ईमेल आईडी लीक होने से स्कैमर को ज्यादा फायदा नहीं होता। लेकिन नाम, घर का पता और फोन नंबर मिल जाएं तो खतरा बढ़ जाता है। इससे कोई एक खास व्यक्ति को उनके घर पर क्रिप्टो बायर के तौर पर टारगेट किया जा सकता है।
Trezor ने पूरा प्लेबुक बताया—स्कैमर्स फेक ईमेल भेज सकते हैं, फर्जी कॉल कर सकते हैं, फ्रॉड लैटर भेज सकते हैं, या खुद को बैंक, कोई एक्सचेंज या Trezor बताकर गुमराह कर सकते हैं।
ऐसा पहले भी हुआ है। Ledger से जुलाई 2020 में लगभग 10 लाख कस्टमर की ईमेल आईडीज लीक हुई थीं। इनमें से 9,500 खरीदारों के फुल पोस्टल डिटेल्स भी लीक हो गए और फर्जी रिकवरी फ्रेज लैटर उनके घर पहुंचाए गए थे।
अब स्केल देखिए। Trezor की ब्रीच में 11,742 लोगों के फुल एड्रेस एक्सपोज़ हुए, जो 2020 में Ledger के 9,500 यूज़र्स से भी ज्यादा हैं।
Ledger के CEO Pascal Gauthier ने 2020 में इसी डर का जवाब दिया था और वही लॉजिक अब भी लागू होता है।
“जो डेटा लीक हुआ है, उसका आपके वॉलेट के फंड्स से कोई कनेक्शन नहीं है,” Ledger एनाउंसमेंट का यह अंश पढ़ें।
अटैकर्स पहले से ही ब्रांड पर नजर रखे हुए थे। हाल ही में Trezor फ़िशिंग ऐड खुलासे से कुछ दिन पहले ही देखा गया था। अलग से, फेक सपोर्ट कॉल स्कैम्स ने इस साल holders से मिलियन्स डॉलर निकाल लिए हैं।
vendors हमेशा कमजोर कड़ी साबित हो रहे हैं। Ledger के payment processor ब्रीच में जनवरी में customer के order डेटा लीक हो गए थे।
Trezor होल्डर्स को अभी क्या करना चाहिए
सलाह सरल है और असरदार भी। ज्यादा urgency को red flag माने। कोई भी अजीब या संदिग्ध चीज़ Trezor के official चैनल्स पर चेक करें। कभी भी वॉलेट बैकअप किसी वेबसाइट में न डालें।
“कभी भी अपना वॉलेट बैकअप वेबसाइट में एंटर न करें या किसी से शेयर न करें,” Trezor ने अपने ब्लॉग में लिखा।
दो आदतें भविष्य का रिस्क कम करती हैं। Order ऐसे email से करें जो आपके असली नाम से लिंक न हो, और जहां possible हो वहां crypto में पेमेंट करें।
Trezor ने Anonymous Delivery का ऑप्शन भी देने का वादा किया है, जिसमें locker pickup और neutral पैकेजिंग होगी। इसका टारगेट EU में सितंबर तक और US में 2026 के एंड तक लागू करना है।
Trezor के अनुसार, 2013 के बाद यह पहला ब्रीच है जिसमें कस्टमर के फोन नंबर और शिपिंग एड्रेस उजागर हुए हैं। डिवाइस अब भी सेफ है। वीक पॉइंट कभी भी डिवाइस नहीं था, बल्कि वह डिब्बा था जिसमें वह डिलीवर हुआ था।
