セキュリティ
ハードウェアがどれほど安全で、量子耐性を備え、暗号化され、将来性があったとしても、サプライヤーが足を引っ張れば誰も無傷ではいられません
暗号資産ハードウェアウォレットメーカーのTrezorは、出荷パートナー企業の1社で発生した情報漏えいにより、13,000人を超える顧客の個人情報が流出したことを認めました。
当初の調査結果では、被害は過去90日間に特定の国々で行われた注文に限定されるとみられていました。しかし新たな情報によると、それ以前の注文も影響を受けている可能性があります。
今回の情報漏えいでは、5月10日から8月8日の間にTrezor製品を注文した米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルの顧客11,742人の氏名、メールアドレス、電話番号、配送先住所が流出しました。
さらに1,947人の顧客について、氏名、居住都市、メールアドレスが流出しました。このグループの一部は5月10日より前に注文していた可能性があります。
「この情報と期間について、現在ShipMonkとともに確認を進めています」とTrezorは述べています。
ShipMonkはTrezorの物流パートナーであり、同社に代わって商品を保管・出荷し、注文処理に必要な情報を収集しています。
ShipMonkはTrezorの90日間保持ポリシーの対象であり、これはパートナー企業に対し、注文に関連して収集した顧客データを収集から90日以内に削除または匿名化することを義務付けるものです。
ShipMonkはコメント要請に対し、即座には応じませんでした。
Trezorは、安全でオフラインのハードウェアベース暗号資産ウォレットの提供者として自社をアピールしています。同社は自社製品を通じて、顧客をサイバー攻撃や悪意あるアプリから守ることを目指しています。
Trezorは自社のシステムおよびデバイス自体は安全なままであると強調する一方で、「影響を受けた顧客はフィッシング攻撃の増加に見舞われる可能性があります」と警告しています。
流出した情報は、犯罪者が銀行や暗号資産取引所、あるいはTrezor自身になりすました、説得力のあるフィッシング攻撃を仕掛ける手助けとなりかねません。
同社は、影響を受けた顧客に直接連絡を取り、あらゆる通知内容を公式チャンネルで公開されている情報と照らし合わせて確認するよう助言したとしています。
「ウォレットのバックアップをウェブサイトに入力したり、誰かと共有したりすることは絶対にしないでください」と、Trezorは謝罪の意を込めた注意喚起の中で述べています。
「Trezorが2013年に設立されて以来、顧客の電話番号と配送先住所が流出するような情報漏えいを経験したのは今回が初めてです。
「私たちは、これがいかに深刻な事態であり、顧客の皆様にどれほどのリスクをもたらし得るかを十分に理解しており、影響を受けた方々に心よりお詫び申し上げます」
Trezorはこの注意喚起とは別のSNS投稿で、現在の「最優先」プロジェクトとして「匿名配送(Anonymous Delivery)」オプションの導入を進めていると明らかにしました。
このサービスにより、購入者は自宅住所や実際の身元を注文に紐付けることなく、チェックアウトを完了できるようになります。
匿名配送を利用する顧客は専用のチェックアウト画面を通じ、本名の代わりにニックネームやラベルIDを使用し、商品は自宅ではなく自動受け取りロッカーへ配送されます。
配送物はブランド名の入らない梱包で、送り主欄も一般的な表記になります。配送業者はロッカー用のPINコードの送付に、メールまたはSMSのみを使用します。
Trezorによると、このサービスはEUでは9月、米国では年末までのローンチに向けて準備が進められているとのことです。
とはいえ、こうした対応もライバルの暗号資産ウォレットであるCake WalletがTrezorをからかうのを止めることはできませんでした。
「セルフカストディにとって、また厳しい一日だ」とCake WalletはXで投稿し、暗号資産保有者に対しては代わりにCake Walletをインストールした古いスマートフォンを使うことを提案しました。理由は「注文も配送先住所も、購入に紐付く顧客データも一切存在しないから」だとしています。®
