ลูกค้า Trezor กว่า 67,000 รายถูกเปิดเผยข้อมูลเพิ่ม จากเหตุรั่วไหลของ ShipMonk

เหตุข้อมูลรั่วไหลจาก 'ShipMonk' บริษัทโลจิสติกส์ที่ดูแลการจัดส่งสินค้าให้ Trezor ผู้ผลิตฮาร์ดแวร์วอลเล็ท ขยายวงกว้างขึ้น หลังพบว่าลูกค้าในสหรัฐฯ ที่เคยสั่งซื้อสินค้าในอดีตราว 67,000 รายถูกเปิดเผยข้อมูลเพิ่มเติม ทั้งชื่อ อีเมล เบอร์โทรศัพท์ ที่อยู่จัดส่ง และหมายเลขคำสั่งซื้อ

Wu Blockchain สื่อด้านคริปโต รายงานเมื่อวันที่ 4 กันยายน เวลา 19.06 น. ตามเวลาเกาหลีใต้ (ราว 17.06 น. ตามเวลาไทย) ว่า Trezor ออกมาชี้แจงว่าผลกระทบจากเหตุการณ์ ShipMonk ขยายวงกว้างกว่าที่เคยประกาศไว้ โดยลูกค้าที่ได้รับผลกระทบเพิ่มเติมคือผู้ที่สั่งซื้อสินค้าในสหรัฐฯ ระหว่างเดือนพฤศจิกายน 2019 ถึงเดือนสิงหาคม 2021

ก่อนหน้านี้เมื่อวันที่ 13 สิงหาคม Trezor เคยชี้แจงผ่านบล็อกทางการของบริษัทว่า มีการเข้าถึงระบบของ ShipMonk โดยไม่ได้รับอนุญาต ส่งผลให้ข้อมูลคำสั่งซื้อของลูกค้ารวม 13,689 รายการถูกเปิดเผย โดยในจำนวนนี้ 11,742 รายถูกเปิดเผยชื่อ อีเมล เบอร์โทรศัพท์ และที่อยู่จัดส่ง ส่วนอีก 1,947 รายถูกเปิดเผยชื่อ เมือง และอีเมล

ตอนนั้นประเทศที่ได้รับผลกระทบมีทั้งสหรัฐฯ อังกฤษ สวีเดน โคลอมเบีย บราซิล อิตาลี และโปรตุเกส ซึ่งเป็นเหตุการณ์ที่ TokenPost เคยรายงานไว้ก่อนหน้านี้ ก่อนที่ล่าสุดจะพบว่าข้อมูลคำสั่งซื้อเก่าที่ยังหลงเหลืออยู่ในระบบก็ได้รับผลกระทบไปด้วย

สิ่งที่ต่างจากประกาศครั้งก่อนคือ ข้อมูลคำสั่งซื้อเก่าเหล่านี้ยังคงถูกเก็บไว้ในระบบของ ShipMonk ทั้งที่ Trezor ระบุว่าเคยได้รับการยืนยันเป็นลายลักษณ์อักษรจาก ShipMonk หลายครั้งแล้วว่าข้อมูลดังกล่าวถูกลบทิ้งไปตามสัญญาและนโยบายจัดการข้อมูล แต่ในความเป็นจริงกลับพบว่าข้อมูลยังคงอยู่ในระบบ

ShipMonk เป็นพันธมิตรด้านโลจิสติกส์ที่ดูแลการเก็บสต๊อกและจัดส่งสินค้าของ Trezor ธุรกิจที่ต้องส่งสินค้าจริงอย่างฮาร์ดแวร์วอลเล็ทไปทั่วโลกจำเป็นต้องส่งข้อมูลจัดส่ง เช่น ชื่อ ที่อยู่ เบอร์ติดต่อ และอีเมล ผ่านระบบของพันธมิตรภายนอกในขั้นตอนดำเนินการคำสั่งซื้อ

Trezor ยืนยันว่าระบบของบริษัทเองไม่ได้ถูกเจาะ และตัวอุปกรณ์ฮาร์ดแวร์วอลเล็ทยังปลอดภัยดี เหตุการณ์ครั้งนี้ไม่ได้เกี่ยวข้องกับ 'คีย์ส่วนตัว' หรือข้อมูลสำรองกระเป๋าเงินแต่อย่างใด แต่เป็นข้อมูลคำสั่งซื้อที่ใช้ในขั้นตอนจัดส่งสินค้าเท่านั้นที่รั่วไหลออกไป

อย่างไรก็ตาม หากชื่อ ที่อยู่ และเบอร์ติดต่อของผู้ซื้อฮาร์ดแวร์วอลเล็ทรั่วไหลออกไปพร้อมกัน ความเสี่ยงอาจไม่ได้จำกัดอยู่แค่ระดับสแปมทั่วไป ผู้ไม่หวังดีอาจใช้ข้อมูลเหล่านี้ปลอมตัวเป็น Trezor ตัวแทนจากตลาดแลกเปลี่ยน หรือธนาคาร ผ่านอีเมล โทรศัพท์ หรือแม้แต่จดหมายปลอมเพื่อเข้าหาผู้ใช้งาน

ความปลอดภัยของฮาร์ดแวร์วอลเล็ทกับการปกป้องข้อมูลลูกค้าเป็นคนละเรื่องกัน แม้ตัวอุปกรณ์และคีย์ส่วนตัวจะยังปลอดภัย แต่หากข้อมูลส่วนบุคคลที่พันธมิตรภายนอกเก็บไว้ในขั้นตอนจัดส่ง ชำระเงิน หรือดูแลลูกค้ารั่วไหลออกไป ผู้ใช้งานก็ยังต้องเผชิญความเสี่ยงอีกรูปแบบหนึ่งอยู่ดี

Trezor ได้ส่งอีเมลแจ้งเตือนไปยังลูกค้าที่ได้รับผลกระทบโดยตรง พร้อมย้ำเตือนว่าอย่านำ 'ข้อความสำรองกระเป๋าเงิน' ไปกรอกบนเว็บไซต์ใดๆ หรือแชร์ให้ผู้อื่นเด็ดขาด และแนะนำให้ลูกค้าตรวจสอบข้อมูลจากบล็อกทางการและช่องทางสื่อสารอย่างเป็นทางการของบริษัทเพื่อความแน่ใจ

เหตุการณ์ครั้งนี้สะท้อนให้เห็นจุดอ่อนเชิงโครงสร้างของบริการเก็บรักษาสินทรัพย์ดิจิทัลที่ผูกกับการจัดส่งสินค้าจริง แม้จะใช้ฮาร์ดแวร์วอลเล็ทเพื่อป้องกันการโจมตีวอลเล็ทออนไลน์ แต่ข้อมูลส่วนบุคคลที่หลงเหลือจากขั้นตอนสั่งซื้อและจัดส่งสินค้าก็ยังเป็นสิ่งที่ต้องบริหารจัดการแยกต่างหากอยู่ดี