Trezor victime d'une fuite de données personnelles via son prestataire ShipMonk

Une fuite qui fait tâche. Le fabricant de portefeuilles physiques Trezor a révélé une fuite de données personnelles touchant une partie de sa clientèle. Cet incident ne provient pas d’une faille directe dans les infrastructures internes du constructeur, mais d’un accès non autorisé sur les systèmes de ShipMonk, l’un de ses prestataires d’expédition. La fuite concerne les commandes passées entre le 10 mai et le 8 août 2026 dans plusieurs pays, dont les États-Unis, le Royaume-Uni, l’Italie et le Portugal. Si le fonctionnement et la sécurité matérielle des équipements conservent toute leur intégrité, l’exposition d’informations nominatives expose les utilisateurs concernés à des risques accrus de sollicitations frauduleuses.

Portée de la fuite et volume de données compromises

L’accès illégal aux bases de données du sous-traitant logistique affecte environ 13 689 clients au total. Dans le détail, 11 742 personnes subissent une fuite complète comprenant leur nom, leur adresse postale, leur numéro de téléphone et leur adresse électronique.

Pour 1 947 autres utilisateurs, la compromission se limite au nom, à la ville et à l’adresse e-mail. L’ampleur de cet incident reste contenue grâce à la politique stricte de confidentialité de l’entreprise, qui impose la suppression ou l’anonymisation des données de commande 90 jours après la livraison.

Cette règle contractuelle appliquée aux partenaires limite le volume d’informations exploitables par les tiers. L’ensemble des clients touchés par cette fuite a par ailleurs reçu une notification individuelle par courrier électronique afin de renforcer leur vigilance face à de potentielles tentatives d’usurpation d’identité.

Risques de hameçonnage et mesures de précaution recommandées

L’exposition simultanée des identités, des adresses physiques et des numéros de téléphone accroît évidemment le risque d’attaques d’ingénierie sociale ciblées. Les acteurs malveillants peuvent en effet réutiliser ces données personnelles pour élaborer des campagnes de hameçonnage complexes par SMS, appel téléphonique, voie postale ou pire.

Les consignes de sécurité fondamentales restent inchangées concernant la gestion des actifs numériques. La phrase de récupération d’un portefeuille physique ne doit jamais figurer sur un support connecté ni être transmise à un tiers. Et pour réduire l’empreinte numérique lors des futurs achats d’équipement, l’utilisation d’adresses électroniques temporaires et de modes de livraison anonymisés dans des points de retrait automatisés pourrait constituer une alternative efficace.

Mais les personnes touchées par cette fuite de données ne peuvent évidemment plus envisager de plan B.