Nach Angaben von Trezor wurden die Namen, Adressen, E-Mail-Adressen und Telefonnummern von 11.742 Kunden entwendet. Bei weiteren 1.947 Kunden wurden Namen, Städte und E-Mail-Adressen kompromittiert. Trezor hatte diese Informationen an ShipMonk übermittelt, damit Bestellungen ausgeliefert werden konnten.
In einer Mitteilung erklärte Trezor, man bedauere es außerordentlich, die Community darüber informieren zu müssen, dass persönliche Kundendaten bei der Sicherheitsverletzung durch einen unbefugten Akteur eingesehen wurden. Zugleich verweist das Unternehmen auf seine strikte Richtlinie zur Datenspeicherung über 90 Tage. Diese Begrenzung habe den Umfang des Vorfalls eingeschränkt; dieselben Bedingungen seien auch mit Fulfillment-Partnern vereinbart worden. Für die 1.947 Kunden mit teilweiser Offenlegung räumt Trezor jedoch ein, dass womöglich auch ältere Bestellungen betroffen sein könnten.
Trezor teilte außerdem mit, dass alle betroffenen Kunden per E-Mail benachrichtigt wurden. Das Unternehmen riet ihnen, bei verdächtigen Nachrichten vorsichtig zu sein, insbesondere wenn darin persönliche Informationen abgefragt oder sofortiges Handeln verlangt wird.
Zur Ursache des Angriffs heißt es, ShipMonk habe Kunden Berichten zufolge darüber informiert, dass Angreifer über eine Schwachstelle in Metabase an Kundendaten gelangt seien. Dabei handelt es sich wahrscheinlich um die SQL-Injection-Zero-Day-Lücke, die Metabase in der vergangenen Woche geschlossen hat.
Zusätzliche Brisanz erhält der Fall durch eine Behauptung der Erpressergruppe ShinyHunters. Die Gruppe reklamierte einen Angriff auf Metabase für sich und veröffentlichte am Mittwoch nach eigenen Angaben dort entwendete Daten des Anbieters von Datenanalyse-Lösungen.
ShipMonk hat den Vorfall bislang nicht öffentlich bestätigt. Unklar ist daher weiterhin, wie viele Unternehmen insgesamt betroffen sein könnten, ob auch personenbezogene Daten weiterer Personen gestohlen wurden und wer genau hinter dem Angriff steckt. Trezor erklärte, man stehe in direktem Kontakt mit ShipMonk, um den genauen Ablauf der Ereignisse sowie das vollständige Ausmaß der Datenschutzverletzung zu klären.