Trezorの配送業者がデータ侵害、顧客13,689人の個人情報が流出

ハードウェアウォレットメーカーのTrezorは先ごろ、サードパーティの配送業者であるShipMonkでデータ侵害が発生したことを公表しました。この侵害により、顧客13,689人分の個人情報が流出しています。

重要な点として、Trezorの内部システム、ハードウェアウォレット本体、秘密鍵、ウォレットのバックアップ、暗号資産の保有残高は侵害を受けていません。しかし、流出したデータはフィッシングや物理的な安全面において、影響を受けたユーザーに重大なリスクをもたらします。

セキュリティ製品とサービス

Trezorのデータ侵害

ShipMonkは2026年8月10日、何者かが不正に自社システムへアクセスしたとTrezorに通知しました。このシステムには顧客の注文情報が含まれていました。Trezorは調査を継続しながら、8月13日にこのインシデントを公表しました。

今回の侵害では11,742人の顧客が影響を受け、氏名のフルネーム、メールアドレス、電話番号、詳細な配送先住所を含む記録が漏えいしました。

さらに1,947人の顧客については、氏名、市区町村名、メールアドレスという一部の情報が流出しました。Trezorは、この部分的に流出した記録に古い注文情報も含まれているかどうか、現在も確認を進めています。

影響を受けたと見られる顧客は、2026年5月10日から8月8日の間に、米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、またはポルトガル宛てにTrezorの注文品を発送されたユーザーです。

Trezorは公式メールアドレスである[email protected]から、影響を受けた個人へ直接連絡を行っています。このアドレスからのメールを受け取っていない顧客は、影響対象には含まれないとされています。

この侵害が特に懸念されるのは、Trezorの顧客が暗号資産ハードウェアウォレットの利用者であると特定できてしまう点です。脅威アクターは流出した連絡先や配送データを悪用し、不正なメール、SMS、電話、あるいは物理的な郵便物といった、説得力のあるソーシャルエンジニアリング詐欺を仕掛ける可能性があります。

想定される詐欺の手口としては、Trezorサポート、暗号資産取引所、銀行、物流会社、あるいは政府機関を装うケースが考えられます。攻撃者は「ウォレットのファームウェア更新が必要」「注文内容の確認が必要」「暗号資産が今すぐ危険にさらされている」などと主張してくる可能性があります。

こうした詐欺の主な狙いは、リカバリーシードとも呼ばれるウォレットのバックアップを盗み出すことにあると見られます。ユーザーのシードフレーズを入手した者は、物理的なTrezorデバイスを持っていなくても、ウォレットを復元して資産を転送できてしまいます。

Trezorは、ウォレットのバックアップを決してウェブサイトに入力したり、電話の相手に伝えたり、メールやチャットで開示したりしないようにと強調しています。正規のサポート担当者がリカバリーシードを尋ねることは決してありません。

Trezorは、今回の情報流出の規模が限定的だった要因として、フルフィルメントパートナーにも適用される90日間の顧客データ保持ポリシーを挙げています。とはいえこの対策があったにもかかわらず、2013年の創業以来、顧客の電話番号や配送先住所が流出したのは今回が初めてとなります。

今回の侵害の影響を受けた方は、Trezorや暗号資産の保有状況、配送、アカウントセキュリティに関する不審な連絡について、悪意あるものである可能性を念頭に対応することが推奨されます。不審なメッセージ内のリンクをクリックしたり記載の電話番号にかけたりするのではなく、公式のTrezorチャネルへ直接アクセスすることが望まれます。

推奨される対策としては、購入時に匿名のメールアドレスを使用すること、可能であれば暗号資産や使い捨ての仮想決済カードで支払うこと、自宅住所の露出を減らすために私書箱を利用することなどが挙げられます。

Trezorはまた、匿名配送オプションの導入計画も発表しました。このサービスでは、ロッカー受け取り、無地の梱包、発送元情報の匿名化、配送完了後の配送識別情報の削除が提供される予定です。このサービスは2026年9月までに欧州連合(EU)で開始され、続いて年末までに米国でも展開される見込みです。

新たなフィッシングやマルウェアが貴社に被害を及ぼす前に阻止しましょう。 世界15,000のSOCからのライブインテリジェンスを統合

アンチウイルスとマルウェア