Violazioni di dati · Phishing / BEC

La cancellazione promessa non ha fermato la fuga dei dati

Trezor ha detto che un breach di ShipMonk ha esposto i dati di altri 67.000 clienti statunitensi, nonostante quei record fossero stati dati per cancellati. La nuova disclosure amplia il perimetro rispetto a quanto era emerso prima e mostra che una promessa di eliminazione può non reggere quando il fornitore conserva copie nei propri sistemi.

L’accesso abusivo ai sistemi di ShipMonk passa da CVE-2026-72898 in Metabase, una SQL injection sfruttata come punto d’ingresso. Una volta dentro il fornitore, gli attaccanti hanno trovato dati personali e d’ordine che Trezor riteneva già rimossi; il danno quindi non riguarda solo la compromissione iniziale, ma anche la retention effettiva del terzo che custodiva quei dati.

Per chi affida dati a fulfillment, logistica o altri processor, il caso resta valido anche dopo la patch: il rischio non finisce con la cancellazione dichiarata, se il vendor conserva ancora informazioni recuperabili. Metabase resta il prodotto da mettere sotto osservazione perché è stato il varco di intrusione.

3 fonti · 8 set

CVE-2026-72898

NVD KEV

Sfruttamento noto · CISA KEV

CVSS 10 CRITICAL: metabase allows a remote, unauthenticated attacker to inject arbitrary SQL via the '/reset_password' database…

Data di correzione federale CISA 14 ago · data superata

Cronologia

Fonti

Part of the PlainSec briefing for 2026-09-08

Every edition of this story: La cancellazione promessa non ha fermato la fuga dei dati