Trezor, gönderim ve lojistik hizmeti sağlayıcısı ShipMonk’ta ağustos ayında meydana gelen veri ihlalinin ABD’de 67 bin ek müşteriyi kapsayacak şekilde genişlediğini ve toplam etkilenen müşteri sayısının yaklaşık 81 bine yükseldiğini açıkladı. Şirket, 13 Ağustos’ta yaklaşık 14 bin müşterinin verilerine yetkisiz erişim sağlandığını açıklamıştı.
Trezor’a göre açığa çıkan veriler; tam adları, gönderim adreslerini, e-posta adreslerini ve telefon numaralarını, ayrıca Kasım 2019 ile Ağustos 2021 arasında alışveriş yapan ABD grubuna ait sipariş numaralarını içeriyor. İlk açıklamada etkilenen müşteriler siparişlerini 10 Mayıs ile 8 Ağustos 2026 arasında teslim aldı. Bu müşteriler arasında ABD’nin yanı sıra Brezilya, Kolombiya, İtalya, Portekiz, İsveç ve Birleşik Krallık’tan kişiler bulunuyordu.
Olayın kapsamı nasıl genişledi?
Trezor, iki şirket arasındaki sözleşme ve veri politikasının bunu gerektirmesine rağmen ShipMonk’un açığa çıkan verileri sistemlerinden silmediğini söyledi. Şirket, ShipMonk’tan silme işleminin tamamlandığına dair yazılı teyitleri defalarca istediğini ve bu teyitleri aldığını, ancak daha sonra verilerin sağlayıcının sistemlerinde kaldığının ortaya çıktığını belirtti.
BleepingComputer’ın incelediği bildirim mesajları, saldırganların üçüncü taraf analiz platformu Metabase’teki bir açıktan yararlandığını gösteriyor. Metabase, tehdit aktörlerinin zero-day olarak sınıflandırılan kritik bir SQL injection açığından yararlandığını ve ele geçirilen sürümde yönetici yetkileri elde ettikten sonra veri hırsızlığı gerçekleştirdiğini söylemişti.
Trezor, ShipMonk sistemlerinin tam olarak nasıl ele geçirildiğini henüz açıklamadı. Rapora göre ShipMonk, raporun Metabase istismar kampanyasıyla ilişkilendirdiği ShinyHunters çetesinden şantaj mesajları aldı. Bu kampanyadan form oluşturma platformu Tally ve dizüstü bilgisayar şirketi Framework de dahil olmak üzere başka şirketler de etkilenmişti.
Bu durum Trezor kullanıcıları için ne anlama geliyor?
Trezor, olayın operasyonlarını veya hizmetlerini etkilemediğini, sistemlerinin ele geçirilmediğini ve Trezor cihazlarının güvenli olduğunu doğruluyor. Ancak sızdırılan verilerin niteliği, saldırganlara kimlik avı mesajlarını kişiselleştirmek veya gerçek siparişlerle ilişkili gibi görünen aramalar ve dolandırıcılıklar gerçekleştirmek için yeterli bilgi sağlıyor. Bu nedenle şirket, müşterileri kişisel bilgi isteyen mesajlara karşı uyardı ve etkilenen kişilerin fiziksel güvenliğine yönelik riskler olabileceğine de dikkat çekti.
Olay, Trezor’un Ocak 2024’te üçüncü taraf destek biletleri portalında yaşanan ve yaklaşık 66 bin kullanıcının verilerine erişilmesine yol açan başka bir ihlal yaşaması nedeniyle ayrıca önem taşıyor. Bu veriler daha sonra cüzdanların 24 kelimelik kurtarma ifadelerini çalmayı amaçlayan kimlik avı kampanyalarında kullanıldı.
Editoryal değerlendirme
Buradaki asıl değişiklik Trezor cihazlarının veya hizmetlerinin ele geçirilmesi değil, silinmesi gereken verilerin saklanması nedeniyle tedarik zincirinde meydana gelen bir olayın etkisinin genişlemesidir. Bu durum, sözleşmeye dayalı uyumluluk teyitlerinin, verileri silme ve üçüncü taraf sistemlerini izleme konusunda doğrulanabilir bir kapasiteyle desteklenmediğinde tek başına yeterli olmadığını gösteriyor.
Kaynak, Metabase açığının ne zaman istismar edildiği veya gerçekte ne kadar verinin aktarıldığı hakkında ayrıntı sunmuyor. Ayrıca etkilenen kayıtların tamamının dolandırıcılık kampanyalarında kullanılıp kullanılmadığını da açıklamıyor. Bu noktalar açık sorular olarak kalırken müşteriler için en net pratik adım, Trezor siparişleriyle veya geçmiş gönderim verileriyle bağlantılı olduğunu belirten her türlü iletişime karşı dikkatli davranmaktır.