Trezor xác nhận 67.000 khách hàng Mỹ bị lộ dữ liệu do sự cố tại đối tác ShipMonk

Nhà sản xuất ví phần cứng Trezor vừa đưa ra thông báo chính thức về việc 67.000 khách hàng tại Mỹ đã bị ảnh hưởng bởi một vụ rò rỉ dữ liệu từ đối tác vận chuyển ShipMonk. Các thông tin bị lộ bao gồm tên, địa chỉ email, số điện thoại, địa chỉ giao hàng và mã đơn hàng phát sinh trong khoảng thời gian từ tháng 11/2019 đến tháng 8/2021. Trezor khẳng định sự cố này không ảnh hưởng đến tính bảo mật của các thiết bị ví cứng.

Đáng chú ý, Trezor cho biết họ đã nhiều lần nhận được cam kết bằng văn bản từ ShipMonk về việc xóa dữ liệu khách hàng theo đúng hợp đồng và chính sách bảo mật. Tuy nhiên, phía đối tác đã không thực hiện đúng cam kết này. Sự cố mới nhất này là phần mở rộng của vụ việc trước đó, khi 13.689 khách hàng khác cũng đã bị lộ dữ liệu một phần hoặc toàn bộ.

Theo các báo cáo kỹ thuật, vụ xâm nhập bắt nguồn từ việc khai thác một lỗ hổng zero-day nghiêm trọng trong Metabase (CVE-2026-72898, điểm CVSS 10.0), một lỗi SQL injection cho phép kẻ tấn công truy cập trái phép vào hệ thống. Công ty bảo mật blockchain Holborn cho biết nhóm tội phạm mạng ShinyHunters được cho là đứng sau cuộc tấn công này.

Trezor đã gửi thông báo trực tiếp đến những khách hàng bị ảnh hưởng và đưa ra cảnh báo khẩn cấp về nguy cơ bị tấn công phishing, lừa đảo qua điện thoại hoặc giả mạo thương hiệu. Kẻ tấn công có thể sử dụng dữ liệu bị rò rỉ để thực hiện các chiến dịch social engineering tinh vi nhằm chiếm đoạt tài sản hoặc thông tin nhạy cảm hơn.

Sự việc lần này tiếp tục gióng lên hồi chuông cảnh báo về rủi ro trong chuỗi cung ứng phần mềm. Các doanh nghiệp cần tăng cường khả năng hiển thị đối với các rủi ro từ bên thứ ba để quản lý tốt hơn hệ thống an ninh tổng thể của mình, đặc biệt là khi các lỗ hổng zero-day đang ngày càng bị khai thác triệt để hơn.

Nguồn tham khảo: The Hacker News