ハードウェアウォレットメーカーのTrezorは、出荷・フルフィルメント業務を委託しているサードパーティ企業ShipMonkが運用するシステムへの不正アクセスにより、約13,689人の顧客に影響が及ぶデータ侵害が発生したことを公表しました。
今回の事案では注文関連の個人データが流出しており、暗号資産保有者を標的とした狙い撃ちのフィッシング攻撃やソーシャルエンジニアリング、さらには現実世界での詐欺行為につながる重大なリスクをはらんでいます。
Trezorによると、顧客情報を保持するシステムへの不正アクセスについて、ShipMonkから2026年8月10日に通知を受けたとのことです。
調査は現在も継続中ですが、Trezorは今回の侵害がShipMonkの環境内で発生したものであり、Trezor自身のインフラではないことを強調しています。同社のデバイスや製品、サービス、そして顧客のウォレットバックアップは安全な状態が保たれているとしています。
今回の事案の影響を受けたのは、米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルの顧客です。Trezorは当初、2026年5月10日から2026年8月8日の間に受け付けた注文が、影響を受けたデータセットに含まれると特定しました。
影響を受けた13,689人のうち、11,742人については氏名、メールアドレス、電話番号、配送先住所がすべて流出しました。さらに1,947人の顧客については、氏名、市区町村、メールアドレスというより限定的な情報が流出しています。
Trezorは、この一部情報のみが流出したグループには古い注文が含まれている可能性があるとして注意を促しており、正確な期間についてはShipMonkと共に確認を進めているとしています。Trezorの公表は個人情報とフルフィルメントデータに焦点を当てたものですが、その運用上の影響は決して小さくありません。
確認済みのハードウェアウォレット所有者リストが、自宅住所や電話番号、メールアドレスと組み合わさることで、金銭目的の脅威アクターにとって価値の高い標的リストとなってしまいます。
Trezorは、影響を受けた顧客がメール、SMS、電話、そして郵送物といったあらゆる経路で、より巧妙化したフィッシングの試みに直面する可能性があると警告しています。
攻撃者は流出した注文情報を悪用し、Trezorサポートや暗号資産取引所、配送業者、銀行、その他信頼された組織になりすます恐れがあります。
例えば、攻撃者が被害者に対し、最近のTrezorの配送に言及しつつ「セキュリティ検証」が必要だと主張するメッセージを送りつけるといった手口が考えられます。
そのメッセージは、ウォレットの復元シードを盗み取ることを目的として作られた、Trezorの偽サイトへ受信者を誘導する可能性があります。攻撃者が被害者の氏名や住所、連絡先情報、さらにはおそらくデバイスの所有状況まで把握しているため、こうした誘導は一般的な暗号資産詐欺よりも信憑性が高く見えてしまう恐れがあります。
Trezorは改めて、ウォレットのバックアップや復元シードを、いかなるウェブサイトやアプリケーション、メール、サポートチャットにも入力してはならないと注意喚起しています。復元シードは、Trezorや他のサービスの代理を名乗る相手であっても、決して共有してはいけません。
Trezorは、今回の侵害の影響範囲が限定的であった理由として、90日間の注文データ保持ポリシーを挙げています。このポリシーの下では、返品や返金、交換といった配送関連の処理が完了した後、フルフィルメントパートナーは顧客データを削除または匿名化する義務を負います。
同社によると、それより古い記録はShipMonkのシステム上にはすでに存在しておらず、そのため流出することもあり得なかったとしています。
しかし、一部情報のみが流出した1,947人の顧客に関する説明は、サードパーティリスク管理においてよく見られる問題を浮き彫りにしています。すなわち、データ保持要件は、サプライヤーのエコシステム全体にわたって一貫して実施され、検証可能かつ監査可能であって初めて意味を持つということです。
同社は、Trezorに関連するすべての連絡について、公式サイトやブログ、公式SNSアカウントで独自に真偽を確認するよう推奨しています。
影響を受けたユーザーは、予期しないサポート対応の依頼や配送通知、アカウント確認の要求、緊急を装った暗号資産セキュリティの警告について、悪意のあるものである可能性を疑ってかかるべきです。
また、メールや電話でのやり取りを注意深く監視し、可能であれば今後の購入には別のメールアドレスを使用し、ハードウェアウォレットの注文についてはプライバシーに配慮した配送・決済方法の利用を検討することが望まれます。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。 SOCを強化しMTTRを削減する、完全なフィッシング可視化を手に入れましょう
翻訳元: https://cyberpress.org/shipmonk-data-breach/
