פרצת המידע בטרזור מתרחבת: עוד כ-67 אלף לקוחות בארה"ב נחשפו

חברת טרזור (Trezor), אחת היצרניות הוותיקות של ארנקי חומרה לביטקוין, עדכנה כי היקף דליפת המידע אצל שותפת השילוח שלה גדול ממה שנמסר בהודעה הראשונה. לפי The Block ו-Decrypt, זוהו רשומות נוספות של כ-67 אלף לקוחות בארצות הברית, מעבר לאלה שדווחו קודם לכן.

הרשומות שנחשפו כוללות, לפי הפירוט שמסר The Block, שם, כתובת דוא"ל, מספר טלפון, כתובת למשלוח ומספר הזמנה. אין בדיווחים אזכור של סיסמאות, של מפתחות פרטיים או של ביטויי שחזור (seed) — וזה הבדל מהותי: הארנקים עצמם לא נפרצו, והמידע שדלף הוא מידע מסחרי-לוגיסטי, לא מידע שמאפשר לגשת למטבעות.

הכשל האמיתי: מידע שהיה אמור להימחק ולא נמחק

הצד המעניין בסיפור אינו הפריצה עצמה אלא מה שנמצא בתוכה. הרשומות החדשות מתוארכות לשנים 2019 עד 2021 — לפי Bitcoin.com News, ההזמנות המוקדמות שבהן הן מנובמבר 2019 — כלומר מדובר בהזמנות בנות חמש עד שבע שנים. Decrypt מציין כי הדבר עומד בסתירה למדיניות שטרזור עצמה תיארה: שותפיה התחייבו למחוק נתוני לקוחות בתוך 90 יום. בפועל, לפי הודעת החברה, הנתונים פשוט נשארו במערכות של הספק.

ShipMonk היא חברת מילוי הזמנות (fulfillment) — קבלן חיצוני שמקבל את המוצרים למחסן, אורז ושולח אותם ללקוח הסופי. כדי לעשות זאת היא חייבת לקבל את שם הלקוח וכתובתו. זהו דפוס מוכר בעולם המסחר המקוון, וגם החולשה שלו: גם כשהחברה שמולה אתם מתקשרים מקפידה על אבטחה, שרשרת האספקה שלה כוללת גורמים נוספים שאתם כלל אינכם יודעים על קיומם, ושעליהם אין לכם שליטה. Bitcoin Magazine מסכם את הנקודה בכך שהשותף החיצוני "לא מחק" את נתוני הלקוחות.

זו גם אינה תקרית יחידה בענף. באתר crypto.news דווח במקביל כי חברת Pocket Bitcoin מסרה שפרצה שאירעה אצלה באוגוסט חשפה רשומות של 5,411 לקוחות, ובהן כתובות, פרטי העברות בנקאיות ואף מסמכי זיהוי. שתי התקריות אינן קשורות זו לזו, אך הן מצביעות על אותו מקום רך: הנתונים הנלווים לרכישה, לא הנכס הדיגיטלי עצמו.

מדוע רשימת כתובות היא נכס יקר ערך לתוקף

כאן נדרשת הבחנה מדויקת. דליפה של כתובות מייל מחנות רהיטים היא מטרד. דליפה של אותו מידע בדיוק מרשימת הלקוחות של יצרנית ארנקי חומרה היא דבר אחר לגמרי, משום שהיא עונה לתוקף על שאלה אחת ששווה לו הרבה: מי מבין הכתובות ברשימה הוא אדם שידוע שהוא רכש התקן ייעודי לשמירת מטבעות דיגיטליים.

מכאן נגזרות שתי דרכי פעולה. הראשונה היא פנייה מזויפת שמתחזה ליצרן: הודעת דוא"ל או מסרון שנראים אותנטיים, מפנים בשמכם המלא ובמספר ההזמנה האמיתי שלכם, ומבקשים "לאמת את הארנק" או "לעדכן קושחה" באמצעות הזנת ביטוי השחזור באתר כלשהו. מספר ההזמנה הוא בדיוק הפרט שהופך הודעה כזו למשכנעת. הדרך השנייה נוגעת לכתובת המגורים הפיזית שנחשפה: אותם פרטי הזמנה מדויקים יכולים לשמש גם בפנייה שאינה מגיעה בדוא"ל, אלא בטלפון או אל הבית.

מה נגזר מכך בפועל

מכיוון שהמנגנון הוא התחזות המסתמכת על פרטים אמיתיים, ההגנה אינה "להיזהר מהודעות חשודות" — ההודעות האלה לא ייראו חשודות. הכלל הפשוט הוא שביטוי השחזור אינו יוצא מהמכשיר ומהדף שעליו נרשם, לעולם, בשום נסיבה ולבקשת אף גורם. יצרן שפונה אליכם ומבקש אותו — אינו היצרן. אם התקבלה פנייה שנראית רשמית, הדרך לבדוק אותה היא להקליד את כתובת אתר החברה ידנית בדפדפן ולפנות משם, ולא ללחוץ על הקישור שבהודעה.

לצד זאת, מכיוון שברשומות נכללה גם כתובת מגורים, יש מקום לשמור על אותה מידה של פשטות גם מחוץ למסך: אין סיבה לפרסם ברבים החזקת נכסים דיגיטליים או פרטים על ציוד שנרכש. פנייה טלפונית, משלוח או ביקור שלא יזמתם — גם כשהם מציגים שם, כתובת ומספר הזמנה מדויקים — אינם מאמתים דבר; פרטים אלה מופיעים ברשומות שדלפו, ולכן ידיעתם אינה מעידה שהפונה הוא מי שהוא טוען שהוא. בכל אחד מהמקרים האלה אין שום חובה למסור מידע על המכשיר, על מקום החזקתו או על ביטוי השחזור, ואפשר תמיד לסיים את השיחה ולפנות אל החברה ביוזמתכם דרך הכתובת הרשמית.

הרשומות שנחשפו בסבב הזה נוגעות להזמנות שבוצעו בארצות הברית, ולפיכך אינן כוללות לקוחות שהזמינו מישראל. עם זאת, טרזור לא פרסמה, נכון לדיווחים שלפנינו, מיפוי מלא של כלל הרשומות שנותרו אצל הספק, ולא ברור אם ייחשפו בהמשך מקבצים נוספים. גם השאלה כיצד ייבדק מעתה קיום מדיניות המחיקה אצל קבלני משנה — נותרה פתוחה.

מקורות: Decrypt · The Block · Bitcoin Magazine · Bitcoin.com News · crypto.news

אזהרה: אין באמור לעיל משום המלצה או ייעוץ להשקעה. המידע מובא לצורך עדכון בלבד.