ShipMonkでのデータ侵害でTrezor顧客14,000人に影響

ハードウェア型暗号資産ウォレットを提供するTrezorは、データ侵害により約14,000人分の個人情報が漏洩したと発表しました。

今回のインシデントは、Trezor自体のシステムではなく、同社が利用する第三者配送業者ShipMonkが関係しているとのことです。Trezorは8月10日にこの攻撃について通知を受けました。

影響を受けたのは、5月10日から8月8日までの間に注文を行った米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルの顧客です。

Trezorは通知の中で、次のように述べています。「今回の侵害により、フルネーム、電話番号、メールアドレス、配送先住所を含む顧客の個人情報に、不正な第三者がアクセスしていたことを、コミュニティの皆様に大変申し訳ない思いでお伝えします」

ハッカーは11,742人分の顧客について氏名、住所、メールアドレス、電話番号を、また1,947人分の顧客については氏名、都市名、メールアドレスを窃取しました。これらの情報は、注文商品の配送のためにTrezorがShipMonkと共有していたものです。

同社は「Trezorが定める厳格な90日間のデータ保存ポリシー(履行パートナーとも同様の条件を交渉して適用しています)により、今回の侵害の影響範囲は限定的です」としながらも、部分的に情報が漏洩した1,947人の顧客については、それより古い注文情報にもアクセスされていた可能性があると注記しています。

「はっきりと申し上げますが、当社のシステム自体は侵害されておらず、お客様のTrezorデバイスは安全です。ただし、今回影響を受けた顧客の皆様は、より巧妙なフィッシング攻撃の標的となる可能性があります」と同社は述べています。

Trezorは影響を受けたすべての顧客にメールで通知を行い、個人情報を要求したり即座の対応を求めたりする不審な連絡には十分注意するよう呼びかけています。

同社は、事件の正確な経緯を明らかにし、データ侵害の全容を把握するため、ShipMonkと直接連絡を取り合っているとしています。

ShipMonkは、ハッカーがMetabaseの脆弱性を悪用して顧客データにアクセスしたと顧客に通知したと報じられています。標的となったバグは、Metabaseが先週パッチを適用したSQLインジェクションのゼロデイ脆弱性である可能性が高いとみられています。

悪名高い恐喝グループShinyHuntersは、Metabaseへの攻撃について犯行声明を出しています。同グループは水曜日、このデータ分析ソリューションプロバイダーから窃取したとされるデータを流出させました。

ShipMonkはこれまでのところ、今回のインシデントを公式には認めていません。どれだけの数の企業が影響を受けた可能性があるのか、他の個人の情報も窃取されたのか、そして攻撃の背後に誰がいるのかは、現時点では不明です。

SecurityWeekはデータ侵害についてのコメントを求めてShipMonkにメールを送っており、同社から回答があり次第この記事を更新する予定です。