Trezor 更新 ShipMonk 洩密：另有約六萬七千美國客戶舊訂單資料外洩

硬體錢包品牌 Trezor 於 2026 年 9 月 4 日在官方網誌更新，指物流合作方 ShipMonk 的資料外洩範圍大於先前公布：除 2026 年 5 月至 8 月約一萬三千多名客戶外，另有約六萬七千名美國客戶（2019 年 11 月至 2021 年 8 月訂單）個資亦遭涉及。本文已核對 Trezor 公司網誌原文，來源真實性已驗證。以下整理事件機制、供應鏈資安含義、香港企業可借鏡之處，以及如何降低第三方履約風險。

一、核心事件：舊合作期資料本應刪除，卻仍在系統內

技術細節

據 Trezor 2026 年 9 月 4 日更新：公司於 9 月 2 日獲告知，ShipMonk 外洩資料除近期訂單外，亦包含過往合作期間（2019 年 11 月至 2021 年 8 月）的美國訂單資料。Trezor 表示，合作期間曾多次要求並取得書面確認，指相關資料已按合約與資料政策刪除；惟實際仍留在對方系統，公司對此「非常失望」。

新增受影響範圍約為六萬七千名美國客戶，屬完整暴露：姓名、電郵、電話、運送地址與訂單編號。公司稱已直接電郵通知受影響客戶；若未收到來自 [email protected] 的郵件，則不在此批之列。官方亦提醒釣魚風險上升，外洩資訊可用於詐騙電郵、來電、信件，甚至帶來實體安全風險。

早前（2026 年 8 月 13 日原文）披露的近期批次，涉及美國、英國、瑞典、哥倫比亞、巴西、意大利與葡萄牙，於 2026 年 5 月 10 日至 8 月 8 日收貨的客戶：完整暴露約 11,742 人，部分暴露（姓名、城市、電郵）約 1,947 人。Trezor 強調自身系統與硬體錢包未受入侵，並指出這是 2013 年創立以來首次外洩客戶電話與運送地址的事故類型。8 月 14 日補充說明，部分暴露群體可能已包含較舊訂單。

二、技術原理深度解析

這次事件的關鍵不在裝置密碼學，而在履約供應鏈的資料生命週期：

必要的第三方資料共享：實體商品跨境寄送，必須把姓名、地址、電話、電郵交給物流商；包裹內容本身據稱未在此次外洩之列。
合約刪除承諾 vs 實作：即使有 90 日保留政策與書面「已刪除」確認，對方系統若未真正銷毀或匿名化，舊資料仍可在多年後成為外洩標的。Trezor 指對方曾書面保證刪除，但舊美國訂單資料仍被發現。
攻擊面外移：品牌方自家主機可能無恙，但客戶風險已由「錢包被駭」轉為「物流商個資庫被駭後的社工／釣魚」。
分階段披露：資安事故常隨調查擴大範圍；今日更新顯示，初次估算（約一萬三千人）並不等於最終邊界。企業內部應假設「範圍可能再擴大」，預留二次通報與客服容量。

對企業而言，這正是第三方風險管理（TPRM）的經典案例：刪除權、稽核權與證據鏈，必須寫進合約並可驗證，不能只靠對方自證。

三、日常應用場景

1. 開發者與技術團隊

為電商、SaaS、Web3 產品設計訂單與物流整合時，採資料最小化，並要求履約商提供刪除／匿名化日誌與定期證明。
將供應商納入 SIEM、漏洞通報與事故演練流程；外洩通知 SLA 應寫死。
對客戶通訊預先準備「釣魚預警」模板，避免事故當下才臨時撰寫。
API 與 webhook 對物流商只傳必要欄位，並為測試環境使用合成資料。

2. 企業與隱私敏感行業

金融、醫療、法律等行業若把客戶地址或聯絡資料交予外判倉儲／客服，須按《個人資料（私隱）條例》（PDPO）檢視轉交目的、保留期與外洩通報義務。
要求處理者（data processor）出具書面銷毀紀錄，並保留抽查與獨立審計權。
評估「實體地址外洩」帶來的現場風險，而不只看電郵釣魚。

3. 一般用戶

硬體錢包本身安全，不代表運送過程的個資安全。收到可疑「Trezor／銀行／交易所」來電或電郵時，勿點連結、勿輸入助記詞。
可考慮匿名電郵、加密貨幣付款、郵政信箱等降低暴露面的做法（Trezor 網誌亦有相關建議；其「Anonymous Delivery」方案據稱計劃於歐盟與美國分階段推出）。

4. 香港與亞洲市場視角

香港企業高度依賴跨境物流與雲端 SaaS。類似「合作已結束、資料應刪卻未刪」的缺口，在本地中小企同樣常見。金融科技與數碼資產相關業務若處理客戶聯絡資料，應把物流、客服工單、CRM 外判一併納入資安審計，而不只檢查自家伺服器。對標 PDPO 的保留期與外洩通報實務，亦應同步檢視合約附錄中的銷毀條款是否可執行。

四、專業評價與潛在考量

優勢（從披露本身看）

公司公開更新範圍、說明書面刪除確認失效，有助受影響者提高警覺。
明確區分「裝置未妥協」與「個資外洩」，避免恐慌性誤讀。
持續以官方網誌與電郵雙軌通知，降低僅依賴社交媒體傳聞的資訊落差。

需要留意的地方

頁面較舊 FAQ 仍保留「約 13,689 人」等表述，讀者須以頁頂 9 月 4 日更新為準。
第三方外洩的完整時間線與根因，仍視調查進度；企業應假設範圍可能再擴大。
物理地址外洩帶來的風險，超出一般電郵釣魚，需納入實體安全評估。
書面「已刪除」若無可驗證證據（雜湊日誌、第三方見證、定期抽查），在法律與營運上均屬薄弱控制。

結語

Trezor／ShipMonk 事件再次說明：零信任不能停在自家防火牆——合約寫了刪除，仍要有可驗證的銷毀證據。香港企業若正把核心系統遷上雲、或把客戶資料交予外判物流與客服，宜同步加固供應鏈資安。可參考 YSK Limited 的雲端遷移與網絡安全（官網公開以 99.99% SLA 為高可用目標，並涵蓋零信任、防火牆與異地備份），把第三方風險一併納入架構設計。

參考來源