Trezor ShipMonk faille 2026 : le fabricant de portefeuilles matériels a confirmé une exposition de données le 13 août. Un acteur non autorisé a accédé aux systèmes de son prestataire logistique ShipMonk. Cette intrusion a exposé les informations personnelles de 13 689 clients. Trezor précise que ses propres systèmes et ses portefeuilles matériels n’ont pas été compromis.
Ce qui a réellement fuité ?
ShipMonk a informé Trezor le 10 août de cet accès non autorisé. L’enquête sur l’origine exacte de cette intrusion reste toujours en cours. L’incident concerne les clients ayant reçu une commande Trezor entre le 10 mai et le 8 août. Ces clients se trouvent aux États-Unis, au Royaume-Uni, en Suède, en Colombie, au Brésil, en Italie et au Portugal.
Parmi ces personnes, 11 742 ont vu leur nom, leur email, leur numéro de téléphone et leur adresse de livraison exposés. Un second groupe de 1 947 clients a subi une fuite partielle, limitée au nom, à la ville et à l’email. Les numéros de commande figuraient également parmi les données détenues par ShipMonk.
Une politique de rétention qui a limité les dégâts
Trezor applique une politique de conservation des données limitée à 90 jours. Cette règle s’impose également à ses partenaires de logistique comme ShipMonk. Les informations liées aux commandes plus anciennes avaient donc déjà été supprimées ou anonymisées avant cet incident.
Cette période de 90 jours couvre l’ensemble du processus de commande, y compris la livraison, les retours et les remplacements de produits. Une fois ce délai écoulé, les données liées à l’achat sont automatiquement supprimées ou anonymisées, puisque l’adresse et le numéro de téléphone ne sont plus nécessaires à l’expédition.
Trezor ShipMonk faille 2026 : une première depuis 2013
Cette fuite marque la première fois depuis la fondation de Trezor en 2013 qu’un incident expose à la fois des numéros de téléphone et des adresses de livraison. « Nous comprenons pleinement la gravité de la situation et les risques potentiels pour nos clients concernés, et nous sommes profondément désolés », a déclaré Trezor.
Les clients concernés ont été notifiés individuellement par e-mail. Les personnes n’ayant reçu aucune notification ne sont pas concernées par cet incident, selon les précisions de l’entreprise. ShipMonk a depuis sécurisé les systèmes touchés et renforcé sa protection à la suite de cette découverte.
Le vrai risque : des tentatives de phishing plus crédibles
Trezor prévient que ces données pourraient servir à créer des tentatives de phishing bien plus convaincantes. Un attaquant disposant du nom, du téléphone ou de l’adresse d’un client peut usurper l’identité de Trezor, d’un exchange ou d’une banque. Ces approches frauduleuses peuvent arriver par email, par téléphone ou par courrier physique.
En février dernier, crypto.news avait déjà rapporté de fausses lettres envoyées aux clients de Trezor et Ledger. Ces courriers dirigeaient les destinataires vers des sites de phishing via des codes QR, réclamant leur phrase de récupération de 12, 20 ou 24 mots. Ce type d’attaque devient particulièrement dangereux lorsque l’attaquant possède déjà l’adresse postale exacte de sa victime.
Trezor ShipMonk faille 2026 : les précautions recommandées
Trezor recommande de traiter avec suspicion toute communication réclamant une action immédiate. L’entreprise conseille également de toujours vérifier un message via ses canaux de communication officiels. Une phrase de récupération ne doit jamais être saisie sur un site web, ni communiquée à une autre personne, quelle que soit l’urgence invoquée.
Pour les futurs achats, Trezor suggère d’utiliser une adresse email non liée à son identité principale. Un paiement en cryptomonnaie plutôt qu’en carte bancaire réduit également l’exposition des données personnelles. L’entreprise prépare aussi un service de livraison anonyme, prévu en Europe dès septembre 2026 et aux États-Unis d’ici la fin de l’année.
Un historique d’incidents liés à des prestataires tiers
Trezor avait déjà connu une exposition de données via un prestataire externe en janvier 2024. Un accès non autorisé au portail de support tiers avait alors potentiellement exposé les informations de contact d’environ 66 000 clients. Aucun actif numérique n’avait été compromis lors de cet incident précédent.
La sécurité matérielle de Trezor a également fait l’objet d’un examen en juin dernier. Des chercheurs de Ledger Donjon avaient identifié une faille sur la puce TROPIC01 du Trezor Safe 7. Cette faille exigeait toutefois un accès physique et un équipement spécialisé, contrairement à l’incident ShipMonk qui ne concerne que des données de commande.
Ce que cela signifie est important à comprendre.
Pour un détenteur français, belge ou suisse de Trezor ayant commandé entre le 10 mai et le 8 août, une vérification de sa boîte email reste utile pour confirmer une éventuelle notification officielle. Cet incident rappelle surtout une distinction essentielle. Une faille chez un prestataire logistique n’affecte jamais la sécurité cryptographique du portefeuille matériel lui-même.
Cette distinction rejoint un principe déjà abordé sur ce site à propos d’un autre fabricant. Notre article sur la faille Coldcard concernait au contraire une vulnérabilité touchant directement le firmware de génération des clés, un risque de nature bien plus grave qu’une fuite de données de livraison.
Les prochaines étapes de cette enquête
Trezor et ShipMonk restent en contact pour déterminer précisément comment cet accès non autorisé s’est produit. Aucune date n’a été communiquée pour la conclusion de cette enquête conjointe.
En résumé, cette faille touche des données personnelles de livraison plutôt que des actifs numériques. Le risque principal reste désormais le phishing ciblé, potentiellement renforcé par courrier physique. La vigilance des clients concernés, combinée aux mesures de livraison anonyme à venir, reste la meilleure protection disponible face à ce type de menace.
⚠️ Cet article est publié à titre informatif et éducatif uniquement. Il ne constitue pas un conseil financier. Aucune recommandation d’achat ou de vente n’est exprimée. Les marchés crypto sont volatils. Les performances passées ne préjugent pas des résultats futurs. Effectuez toujours vos propres recherches. Ne misez que ce que vous pouvez vous permettre de perdre.
