Trezor aveva chiesto conferma scritta che i dati fossero cancellati. L'ha ottenuta. I dati c'erano ancora.

Trezor produce portafogli hardware, quei piccoli dispositivi che si comprano per non lasciare i propri risparmi dentro un browser. Il 13 agosto l'azienda ha comunicato ai clienti che il partner logistico ShipMonk era stato violato tre giorni prima e che erano coinvolte circa 13.689 persone che avevano ordinato fra maggio e agosto. Spiacevole, circoscritto, chiuso.

Il 2 settembre ShipMonk è tornata con dell'altro. Nel bottino c'erano anche gli ordini di una collaborazione precedente, da novembre 2019 ad agosto 2021: altri 67.000 clienti statunitensi, con nomi, indirizzi email, numeri di telefono, indirizzi di spedizione e numeri d'ordine. La politica di conservazione di Trezor è di 90 giorni. La sua dichiarazione merita una seconda lettura: «Per tutta la durata del nostro rapporto con ShipMonk abbiamo ripetutamente richiesto e ricevuto assicurazione scritta della cancellazione dei dati». Cancellati non erano. Il totale sale a circa 81.000 persone, e i portafogli in sé non sono toccati in alcun modo.

Ecco perché il campo dell'indirizzo è quello brutto. Un elenco di indirizzi di casa di persone che notoriamente hanno comprato un portafoglio di criptovalute fa comodo a due tipi molto diversi di criminali, e solo uno dei due lavora online. Aspettatevi phishing che cita il vostro vero numero d'ordine, perché il mittente ce l'ha davvero. Il consiglio di Trezor si riduce a una regola che non scade mai: la frase di recupero del portafoglio non si digita da nessuna parte, mai, chiunque la chieda e per quanto esatti siano i suoi dati. Il principio vale ben oltre le criptovalute. Sapere il vostro numero d'ordine ormai non prova nulla.

Se state facendo il conto di quali aziende custodiscono i vostri dati, il controllo Privacy e account di Tendvane è un buon punto per vedere che cosa è connesso sul PC e che cosa vi è collegato.