Trezor confirma que ShipMonk no borró datos de 67.000 clientes en EEUU
El fabricante de wallets Trezor ha revelado que un ataque a su proveedor de logística, ShipMonk, expuso datos de 67.000 usuarios en EE. UU. a pesar de las garantías de eliminación. La filtración incluye nombres, correos, teléfonos y direcci
Trezor anunció este viernes que un ataque a ShipMonk, su proveedor de envíos, expuso datos de 67.000 clientes estadounidenses. La filtración abarca nombres, correos, teléfonos, direcciones de envío y números de pedido de pedidos realizados entre noviembre de 2019 y agosto de 2021.
ShipMonk había asegurado en repetidas ocasiones que eliminaría los datos de forma permanente, de acuerdo con el contrato y la política de datos de Trezor. “Nos decepcionó que, a pesar de haber recibido esa confirmación, los datos no se eliminaron en sus sistemas”, dijo Trezor.
La brecha no afecta la seguridad de los wallets de hardware. El incidente se suma a los 13.689 clientes afectados el mes pasado, cuyo expediente se declaró expuesto total o parcialmente. ShipMonk afirma que, de acuerdo a su política de 90 días de retención, elimina o anonimiza cualquier dato de compra después de ese plazo.
El ataque, reportado el 10 de agosto de 2026, se originó en una explotación de día cero de CVE-2026‑72898, un fallo crítico de inyección SQL en Metabase con CVSS 10.0. Según Holborn, la firma de seguridad de cadena de suministro, el grupo extorsionador ShinyHunters habría sido el responsable.
Trezor notificó directamente a los clientes afectados y advierte sobre posibles ataques de ingeniería social. Los datos filtrados pueden emplearse para correos de phishing, llamadas fraudulentas o cartas de suplantación. Además, el riesgo de exposición física aumenta si los atacantes utilizan la información para localizar a los usuarios.
Holborn destacó que la brecha demuestra la necesidad de visibilidad completa sobre los riesgos de terceros para gestionar la postura de seguridad global. En este caso, la vulnerabilidad de Metabase permitió a los atacantes acceder a datos sensibles de clientes de ShipMonk, que a su vez fueron utilizados para extorsionar a Trezor.
ShipMonk aún no ha hecho un comunicado oficial. Se sabe que ha reforzado la seguridad de los sistemas afectados tras el intruso digital.
Para los administradores de sistemas, la lección es clara: la cadena de suministro no es un punto a omitir. La eliminación de datos debe verificarse de forma independiente y la monitorización continua de terceros que manejan información sensible es esencial.
La comunidad de TI debe revisar las políticas de retención y los contratos con los proveedores de logística y BI. En caso de que el proveedor utilice herramientas de análisis como Metabase, es imprescindible aplicar parches de manera inmediata y auditar los accesos.
La importancia de este caso radica en que demuestra cómo una vulnerabilidad de un sistema de terceros puede desencadenar la exposición masiva de datos de usuarios finales. La respuesta de Trezor, aunque tardía, ofrece una advertencia sobre la necesidad de controles estrictos sobre los socios que manejan datos críticos.
