ShipMonk 침해로 Trezor 고객 6만7,000명 추가 노출

배송업체 ShipMonk의 침해로 Trezor 고객 6만7,000명의 정보가 추가로 노출됐다. 노출된 기록의 총수는 1만3,689건에서 약 8만700건으로 늘었다. 기록에는 이름, 이메일 주소, 전화번호, 자택 주소, 주문번호가 포함됐다. 영향을 받은 고객은 모두 미국에 있다. 고객들은 2019년 11월부터 2021년 8월 사이에 주문했다. 노출된 기록 중 일부는 생성된 지 7년에 가까웠다. Trezor는 ShipMonk가 이 사실을 이틀 전에 전달했다고 밝혔다. Trezor는 계약과 데이터 정책에 따라 기록이 삭제됐다는 서면 확인을 반복해서 받았다고 밝혔다. Trezor는 기록이 삭제되지 않았다는 사실을 알게 돼 실망했다고 밝혔다. Trezor 자체 시스템은 침해되지 않았다. 이번 침해는 기기, 개인 키 또는 지갑 백업에 영향을 주지 않았다. 노출된 기록은 특정 자택 주소에 거주하는 하드웨어 지갑 소유자임을 확인해 준다. Trezor는 영향을 받은 고객들에게 가짜 이메일, 전화, 편지로 인한 물리적 보안 위험을 경고했다. Trezor는 고객이 지갑 백업을 절대 공유하거나 웹사이트에 입력해서는 안 된다는 점도 거듭 강조했다. Trezor와 경쟁사 하드웨어 지갑 Ledger의 소유자들은 이미 2월에 위조 편지를 받은 바 있다. 편지에는 홀로그램, QR코드, 위조된 임원 서명이 포함됐다. 편지는 지갑 접근권 상실을 막기 위한 허위 보안 점검을 요구했다. 사이버범죄 컨설턴트 백세현은 이름과 자택 주소가 적힌 편지는 발신자가 수신자를 찾아낼 수 있다는 신호라고 말했다. 백세현은 사람들이 이사를 하거나 전화번호를 바꾸는 일이 드물기 때문에 탈취된 데이터가 수년간 유용하게 남는다고 말했다. 침입은 분석 도구 Metabase의 치명적인 SQL 인젝션 취약점으로 추적된다. 이 취약점은 8월 6일 공개됐다. 이 취약점으로 인증되지 않은 공격자가 연결된 데이터베이스의 자격 증명을 탈취할 수 있었다. 노트북 제조업체 Framework와 폼 제작업체 Tally도 같은 공격 물결에 휘말렸다. ShipMonk는 ShinyHunters의 소행으로 지목된 갈취 이메일을 받은 것으로 알려졌다. 해당 지목은 아직 확인되지 않았다. Trezor는 구매자가 자택 주소를 제공할 필요가 없도록 보관함 수령, 중립 포장, 일반적인 발신자 정보를 사용하는 익명 배송을 최대한 신속하게 제공하기 위해 노력하고 있다고 밝혔다.