Trezor: Sự cố tại ShipMonk làm lộ dữ liệu thêm 67.000 khách hàng Mỹ
"Trezor disclosed that a breach at its shipping provider ShipMonk exposed data for an additional 67,000 U.S. customers, including names, email addresses, phone numbers, shipping addresses, and order numbers from purchases made between November 2019 and August 2021. The incident was linked to unauthorized access to ShipMonk systems via zero-day exploitation of CVE-2026-72898, a critical SQL injection flaw in Metabase (CVSS 10.0); Trezor said the hardware wallets themselves were not affected and notified impacted customers."
Rủi ro chính là lộ dữ liệu cá nhân và khả năng bị khai thác cho phishing/giả mạo; sự cố bắt nguồn từ tấn công chuỗi cung ứng và zero-day CVE-2026-72898.
Có thể gây ảnh hưởng niềm tin khách hàng, tăng chi phí thông báo và xử lý sự cố, đồng thời làm nổi bật nhu cầu kiểm soát rủi ro bên thứ ba.
Trezor cho biết một sự cố tại nhà cung cấp vận chuyển ShipMonk đã làm lộ dữ liệu của thêm 67.000 khách hàng tại Mỹ, gồm tên, email, số điện thoại, địa chỉ giao hàng và mã đơn hàng từ các giao dịch trong giai đoạn 11/2019 đến 08/2021. Theo công ty, sự cố này không ảnh hưởng đến ví phần cứng của Trezor.
Trezor nói họ đã nhiều lần nhận xác nhận bằng văn bản rằng dữ liệu đã được xóa theo hợp đồng và chính sách lưu trữ, nhưng thực tế dữ liệu vẫn còn trong hệ thống của đối tác. Đây là phần mở rộng của đợt công bố trước đó liên quan đến 13.689 khách hàng.
ShipMonk được cho là đã bị truy cập trái phép thông qua khai thác zero-day CVE-2026-72898, một lỗ hổng SQL injection nghiêm trọng trong Metabase với điểm CVSS 10.0. Trezor đã thông báo trực tiếp cho khách hàng bị ảnh hưởng.
Do dữ liệu bị lộ có thể bị dùng cho phishing, giả mạo cuộc gọi hoặc thư từ, các tổ chức nên rà soát rủi ro từ bên thứ ba, tăng giám sát email và xác thực yêu cầu liên quan đến đơn hàng. Người dùng cần cảnh giác với mọi liên hệ yêu cầu cung cấp thông tin hoặc thực hiện hành động bất thường.