Trezorの配送業者が、13,689人の暗号資産利用者を詐欺の危険にさらしました

同社のセキュリティアップデートによると、影響を受けた顧客は8月8日以前の90日間に米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルで注文を受け取っていたとTrezorは記しています。 このハードウェアウォレットメーカーによると、Shipmonk社は8月10日、顧客データを保管するシステムへの不正アクセスをTrezorに通知しました。

Trezorによると、11,742人の顧客の氏名、電子メールアドレス、電話番号、配送先住所が流出した。さらに1,947人については、氏名、居住都市、電子メールアドレスの一部情報が流出した。

ハードウェアウォレットとは、仮想通貨の管理に用いられる秘密鍵をオフラインで保管するために設計された物理的なデバイスです。これらの認証情報である秘密鍵は今回のインシデントでは漏洩しませんでした。「影響を受けたすべてのお客様には個別にメールで連絡済みです。当社のシステムおよびデバイスの安全性は維持されていますが、影響を受けたお客様に対してはフィッシング攻撃の試みが増加する可能性があります」とTrezorはX上で説明しました。

差し迫ったリスクはなりすまし

より差し迫った懸念はフィッシングです。これは、犯罪者が信頼できる企業、銀行、その他のサービスを装い、人々を騙して機密情報を引き出そうとする詐欺の手口です。

「詐欺師は、流出した情報を使って偽のメールを送信したり、偽の電話をかけたり、詐欺的な手紙を送ったり、さらには銀行、暗号資産取引所、あるいはTrezorそのものを装う可能性もあります」と同社は顧客向け通知で述べています。

このリスクはハードウェアウォレット所有者にとって特に深刻です。なぜなら、犯人がウォレットのバックアップ（リカバリーフレーズとも呼ばれる）を入手しようとする恐れがあるからです。リカバリーフレーズがあれば仮想通貨ウォレットへのアクセスを復元できるため、これを入手した者は誰でもウォレット内の資金を奪う可能性があります。

Trezorは、ウェブサイト上でウォレットのバックアップ情報を入力したり他者と共有したりしないよう強く呼びかけました。また、緊急対応や個人情報の提供を求めるメッセージには疑いの目を向け、公式チャネルを通じて連絡内容を確認するようアドバイスしました。

配送パートナーがデータを保有していた

Shipmonkは、商品を保管し、購入者へ注文品を発送する物流プロバイダーです。Trezorによると、このようなパートナー企業には、受取人の氏名、住所、電話番号、メールアドレスなどの基本的な配送情報が必要となります。

Trezorは、自社のシステムや製品、サービスが侵害されたわけではないと強調しました。「Trezorデバイスは依然として完全に安全かつセキュアな状態を維持しています」と同社は述べ、通常通り業務を継続していると付け加えました。

同社は、90日間のデータ保持ポリシーが被害の最小限化に寄与したと説明しています。Trezorは、配送・返品・返金・交換に必要な期間が経過した後、配送パートナーに対して顧客の注文データを配送から90日後に削除または匿名化するよう義務づけています。

「唯一の実質的な影響は、影響を受けた顧客が、電子メール、電話、または郵便によるフィッシング攻撃の試みをより多く目にする可能性があることです」とTrezorは明らかにした。同社は、影響を受けた顧客にはhelp@trezor.ioから直接連絡が行われており、その通知を受け取っていない人は影響を受けていないと述べた。

ハードウェアウォレット業界では過去にも同様の事例がある

今回の事件は、ハードウェアウォレットメーカーに関連する顧客データ漏洩としては初めてのことではありません。別の大手メーカーであるLedgerも、2020年に自社のEコマースおよびマーケティングデータベースに関する情報漏洩被害を受けています。

この事件では約100万件のメールアドレスが流出し、その後、氏名・住所・電話番号・注文商品などを含む詳細な顧客記録約27万2,000件も流出した。

この事例は、ウォレットの技術自体が安全であっても、暗号資産の保有状況に関連する個人情報が犯罪者にとってなぜ価値を持つのかを浮き彫りにしました。こうした情報は、詐欺師が特定の顧客を標的とした、信憑性のあるメッセージを作成するのに役立つからです。Trezorは木曜日、よりプライバシーを保護した配送方法の導入に取り組んでいると説明しました。

同社は次のように述べました。「現在、『匿名配送（Anonymous Delivery）』オプションの開発を進めており、EU向けには9月、米国向けには年末までに導入する予定です。これにより、購入情報を自宅の住所や実在する身元と結びつけることなく、ハードウェアウォレットをより安全に注文できるようになります。」

Trezorはさらに、調査が続く中で、Shipmonkが影響を受けたシステムのセキュリティを確保し、強化したことも明らかにしました。顧客は今後の更新情報に注意を払う必要があり、Trezorは9月までに欧州連合（EU）で、2026年末までに米国で「匿名配送」を導入する計画です。