La fuite de données touchant le prestataire logistique ShipMonk prend une nouvelle ampleur. Trezor révèle que 67 000 clients américains supplémentaires sont concernés par l’incident, avec un détail embarrassant. Ces informations auraient dû avoir été effacées depuis plusieurs années. Le fabricant assure avoir demandé à plusieurs reprises leur suppression et reçu des confirmations écrites de son prestataire.
Des données vieilles de plusieurs années refont surface
Trezor pensait le périmètre de la fuite largement circonscrit. Lors de sa première communication en août, le fabricant de portefeuilles matériels avait annoncé que 11 742 clients avaient vu leurs coordonnées complètes exposées et 1 947 autres des informations partielles.
Le 4 septembre, l’entreprise a finalement annoncé qu’environ 67 000 clients américains supplémentaires étaient concernés. Ces personnes avaient commandé un produit Trezor entre novembre 2019 et août 2021. Noms, adresses électroniques, numéros de téléphone, adresses de livraison et numéros de commande figurent parmi les données exposées. Le nombre connu de personnes touchées dépasse ainsi désormais 80 000.
ShipMonk avait pourtant confirmé leur suppression
C’est surtout l’ancienneté de ces données qui soulève un problème. Trezor affirme avoir appliqué une politique destinée à limiter la conservation des informations de livraison et avoir demandé à ShipMonk de supprimer les données devenues inutiles. L’entreprise dit avoir reçu à plusieurs reprises des assurances écrites confirmant que cette suppression avait bien été réalisée.
Or, la découverte de dossiers remontant à 2019 montre que ces informations étaient toujours présentes dans les systèmes du prestataire au moment de l’intrusion.
Lors de la première annonce de l’incident, Trezor expliquait précisément que sa politique de conservation limitée à 90 jours chez ses partenaires logistiques avait permis de réduire l’impact potentiel de la fuite. L’élargissement du périmètre remet directement en cause cette protection.
Les portefeuilles ne sont pas compromis
L’incident concerne les systèmes de ShipMonk et non ceux de Trezor. Le fabricant précise que ses appareils, les portefeuilles de ses clients et leurs données de récupération n’ont pas été compromis.
L’exposition d’une adresse postale associée à l’achat d’un portefeuille de cryptomonnaies présente néanmoins un risque particulier. Trezor avertit ses clients de possibles campagnes de phishing, appels frauduleux, courriers physiques ou autres tentatives d’usurpation utilisant les informations volées pour rendre les sollicitations plus crédibles.
Tous les clients identifiés dans cette nouvelle vague ont été contactés directement par l’entreprise.
Une entreprise peut fixer une durée de conservation contractuelle sans pour autant maîtriser techniquement ce qu’il advient réellement des données une fois transmises. Pour les organisations qui confient des données personnelles à des prestataires, la question ne porte donc pas seulement sur la durée de conservation prévue dans le contrat, mais aussi sur la capacité à vérifier que l’effacement a effectivement eu lieu.
