暗号資産ハードウェアウォレット提供会社のSafePalは、脆弱性を悪用されて顧客の注文情報が盗まれるデータ侵害が発生し、約39,798人の顧客に影響が及んでいると警告しています。脅威アクターは現在、盗み出したデータの販売を主張しています。
SafePalによると、今回の侵害は2025年3月2日から2026年4月11日の間に注文を行った顧客に影響しており、氏名、メールアドレス、配送先住所、電話番号、購入情報が流出したとのことです。
同社は、顧客のウォレットのシードフレーズ、秘密鍵、パスワード、銀行口座情報、支払いカード番号、政府発行の身分証明書番号、その他の認証情報は流出していないとしています。
SafePalは日曜日に公開したセキュリティ勧告の中で、「本件によってSafePalウォレットや資金へのアクセスが侵害されたという証拠は見つかっていません」と述べています。
同社は、影響を受けたすべての顧客に対して8月16日に「[Important] Your SafePal Order Information Has Been Affected」という件名のメールで通知を行ったとしています。
SafePalはまた、顧客が注文番号と配送先国を入力することで、自分の注文情報が流出したかどうかを確認できるオンライン確認ツールを公開しました。
同社は、盗まれた情報が標的型フィッシングやその他のソーシャルエンジニアリング攻撃に悪用される可能性があると警告しています。実際、早くも5月にはSafePalを装ったフィッシングメールや電話を受けたという顧客からの報告が寄せられていました。
注文追跡機能の脆弱性で顧客データが流出
現在、ある脅威アクターがサイバー犯罪フォーラムで盗まれたSafePalの顧客データを販売していると主張しています。
DarkWebInformerが発見したところによると、この販売者はSafePalが公表したのと同じ影響対象期間、および約39,798人という顧客数を挙げていました。
購入希望者に対して、脅威アクターは盗まれた注文の注文IDと配送先国の情報も提供する意向を示しており、これはSafePalのオンライン確認ツールで確認できるため、販売が本物であることの証拠になるとしています。
フォーラムの投稿には「安値には興味がありません。まともな価格で来るか、さもなくば連絡しないでください」と書かれています。
BleepingComputerは、この脅威アクターが実際に盗まれたデータを保有しているかどうかを独自には確認できていません。
SafePalによると、今回の事案と一致する報告を最初に受け取ったのは2026年5月上旬で、当初は単発の事例として扱っていたとのことです。
この投稿と関連があるかは不明ですが、ある顧客は5月にSafePalを装ったフィッシングメールを受け取り、さらに同社の従業員を名乗る人物からの電話を受けたとXに投稿しています。このフィッシングメールでは、SafePal X1ハードウェアウォレットにセキュリティ脆弱性が発見されたとして、修正のためのファームウェアアップデートが必要だと主張していました。
勧告には次のように記されています。「私たちが最初にこの問題と一致する報告を受け取ったのは5月上旬で、当時は単発の事例として扱っていましたが、その後正式なセキュリティ調査へと格上げし、追加の保護対策を導入しました」
「当社のECシステムは複数の相互接続されたコンポーネントや外部連携、さらにサードパーティの物流パートナーを含んでいるため、いくつかの可能性のある説明を即座に排除することができませんでした」
7月、SafePalは注文処理システムの「全面的な見直しと再構築」と表現する作業に着手し、あるプラグインの注文追跡機能に権限管理上の欠陥があり、これによって他の顧客の注文情報に不正アクセスできる状態になっていたことを発見しました。
SafePalはこの脆弱性を修正し、追加のセキュリティ対策を実施したとしています。同社はまた、サードパーティのセキュリティ企業と協力して修正の検証と注文処理システムのより広範なレビューを進めています。
しかし、この調査の過程でSafePalは、脅威アクターがこの脆弱性を悪用し、約39,798人の顧客に属する注文情報を盗み出していたことを突き止めました。
調査の過程では、2025年9月から2026年4月にかけてデータクリーンアップ処理が正常に機能しなくなっていたという、別の設定ミスも発見されました。これにより、2025年3月まで遡る注文データが保持されたままになっていたということです。
影響を受けた注文について、SafePalは稼働中のECサーバーから個人データを削除したとしていますが、法執行機関による捜査の可能性に備え、暗号化されたオフラインのコピーは保持しているとのことです。
SafePalはまた、ファームウェアのアップグレード、製品の返品、返金、法的調査などをかたる標的型フィッシングメールや電話に注意するよう顧客に呼びかけています。
同社は、この事案に関連する不正なウェブサイトやフィッシングリンクをすでに30件以上削除したとしています。
SafePalによると、注文情報が流出した顧客であっても、この侵害を理由にハードウェアウォレットを交換したり、暗号資産を移動したりする必要はないとのことです。
ただし、フィッシングメールやテキストメッセージに応じてすでにシードフレーズや秘密鍵を共有してしまった顧客については、ウォレットが侵害されたものとみなし、信頼できるSafePalデバイスまたは公式アプリケーション上の新しいウォレットへ資産を移すべきだとしています。
攻撃者が有効な認証情報を手に入れた後、その行動のうちブロックされるのはわずか37%
全体的な防御スコアだけでは、初期侵入後に何が起きているかが見えなくなることがあります。攻撃者が有効な認証情報を使い始めた途端、防御成功率は急激に低下します。
The Blue Report 2026では、顧客の本番環境で実行された3億3,800万件のシミュレーションをもとに、手法ごとに防御力を測定しています。
