Trezor meldt 67.000 extra gedupeerden: ShipMonk wiste oude klantdata niet

Trezor meldt dat het datalek bij verzendpartner ShipMonk nog eens ongeveer 67.000 Amerikaanse klanten raakt, met bestelgegevens uit november 2019 tot augustus 2021 die volgens de eigen afspraken allang gewist hadden moeten zijn.

Daarmee draait deze zaak niet om crypto, maar om de verwerkersovereenkomst. Er lag een bewaartermijn vast, Trezor vroeg herhaaldelijk om verwijdering en kreeg schriftelijk bevestigd dat het gebeurd was. De data lag er nog. Elke Nederlandse organisatie die opslag, verzending of facturatie uitbesteedt werkt met precies dezelfde constructie: een clausule in het contract en een mail van de leverancier dat het geregeld is. Dit lek laat zien wat die twee waard zijn zonder bewijs.

Wat Trezor zegt te hebben gevraagd

Op 2 september kreeg Trezor bericht dat het lek groter was dan eerder gemeld en ook bestelgegevens bevatte uit een eerdere samenwerkingsperiode. In de update van 4 september schrijft het bedrijf dat het gedurende de hele relatie met ShipMonk herhaaldelijk om verwijdering van die data vroeg en daar schriftelijke bevestiging voor terugkreeg, in lijn met het contract en het eigen databeleid, en dat de gegevens ondanks die bevestiging niet uit de systemen van ShipMonk waren gewist.

Het gaat bij deze groep om volledige blootstelling: naam, e-mailadres, telefoonnummer, verzendadres en bestelnummer. Getroffen klanten kregen rechtstreeks een mail. Trezor waarschuwt voor gerichte phishing, valse telefoontjes en brieven, en wijst erop dat een lijst met namen en thuisadressen van kopers van hardwarewallets ook een fysiek veiligheidsrisico oplevert. De apparaten zelf, de private keys en de wallet-backups zijn niet geraakt.

Van 13.689 naar ruim 80.000

De oorspronkelijke melding van 13 augustus ging over 13.689 klanten: 11.742 met volledige blootstelling en 1.947 met alleen naam, woonplaats en e-mailadres. Dat betrof bestellingen die tussen 10 mei en 8 augustus 2026 waren verzonden naar de Verenigde Staten, het Verenigd Koninkrijk, Zweden, Colombia, Brazilië, Italië en Portugal. Met de nieuwe groep erbij komt het totaal op ongeveer 81.000 getroffen klanten.

Opvallend is hoe Trezor die eerste, beperkte omvang zelf verklaarde: het bedrijf hanteert een bewaartermijn van 90 dagen na levering en had met zijn fulfilmentpartners afgesproken dat zij zich aan dezelfde termijn houden. Oudere bestellingen zouden dus niet meer bij ShipMonk staan. Precies die aanname bleek de zwakke schakel. Als reactie kondigt Trezor een anonieme bezorgoptie aan met een aparte checkout, afhaalpunten, neutrale verpakking en automatisch wissen van verzendkenmerken na levering, in de EU vanaf september 2026 en in de Verenigde Staten eind 2026.

De inbraak zat een schakel verderop

ShipMonk waarschuwde Trezor op 10 augustus over ongeautoriseerde toegang tot systemen met klantgegevens. Volgens SecurityWeek liet ShipMonk aan klanten weten dat aanvallers binnenkwamen via een kwetsbaarheid in analysetool Metabase; afpersingsgroep ShinyHunters eiste de aanval op. ShipMonk zelf heeft het incident publiek nooit erkend.

Metabase publiceerde op 6 augustus dat zijn cloudomgeving was aangevallen met een tot dan toe onbekende kwetsbaarheid in versies 1.58 en hoger. Datzelfde lek, een SQL-injectie via het wachtwoordherstel-endpoint die zonder inloggen beheerdersrechten geeft en 10.0 scoort op de CVSS-schaal, legde eerder de klantendatabase van laptopmaker Framework bloot. De keten is dus drie lagen diep: een gat in een dashboardtool bij een logistieke dienstverlener levert de adreslijst van de klanten van een derde partij op.

Afgesproken bewaren is niet hetzelfde als aantoonbaar wissen

Trezor company s.r.o. heeft zijn kantoren in Praag, dus voor de Europese klanten van de webshop geldt de AVG onverkort. Een verkoper blijft daarmee verwerkingsverantwoordelijke voor gegevens die een verwerker namens hem bewaart, ook als die verwerker aan de andere kant van de oceaan staat en de inbraak daar plaatsvindt. Artikel 28 verplicht die verwerker om data aan het eind van de opdracht te wissen of terug te geven, maar de AVG schrijft niet voor hoe je controleert of dat ook echt is gebeurd. Dat gat vul je zelf in het contract, of je vult het niet in.

Het verschil zit in het bewijs. Een afgesproken bewaartermijn en een bevestigingsmail zijn een bewering van je leverancier. Een verwijderrapport per dataset met datum en omvang, een expliciet controlerecht of audit, en een uitdrukkelijke afspraak dat ook back-ups, exports en analysetools onder de termijn vallen, zijn iets wat je kunt nakijken. Die laatste categorie is hier doorslaggevend: de gestolen gegevens zaten niet in het orderportaal, maar in de business-intelligenceomgeving eromheen. Data die je uit het hoofdsysteem laat verwijderen, kan nog jaren in een dashboard, een export of een testomgeving staan.

De vraag die dit incident stelt is heel concreet: hoeveel records van jouw klanten liggen er nu bij welke leverancier, en om welke velden gaat het. Trezor stelde die vraag herhaaldelijk en kreeg een antwoord dat niet bleek te kloppen. Het antwoord dat je kunt controleren is de echte bewaartermijn.

Het eerste getal is nooit het eindgetal

De bijstelling van Trezor volgt een patroon dat zich bij ketenlekken herhaalt. Ook CareCloud stelde zijn maartlek bij van ongeveer 350.000 naar 3.756.469 mensen, maanden na de eerste melding. Dat komt niet doordat bedrijven liegen, maar doordat het eerste getal rust op wat de leverancier zegt te bewaren. Zolang die inventarisatie niet is geverifieerd, is elke eerste omvang een ondergrens.

Voor de organisatie die de melding moet doen is dat geen theoretisch probleem. De klok van 72 uur bij de Autoriteit Persoonsgegevens begint bij jouw kennisname, niet bij die van je leverancier, en een eerste melding aanvullen met een vervolgmelding hoort bij het stappenplan voor de eerste 72 uur na een hack bij je IT-leverancier. Wat je echt kunt aantonen over de data bij je ketenpartners bepaalt hoe groot dat eerste getal is, en hoe vaak je het later moet bijstellen.