暗号資産ウォレットメーカーのSafePalは、39,798人分の顧客の注文情報が流出したデータ侵害を公表しました。流出した情報には、氏名、メールアドレス、配送先住所、電話番号、購入内容が含まれます。
同社は今回の漏洩の原因を、注文追跡に使用しているプラグインの認可制御の不備にあると特定しました。この欠陥により、特定の条件下で、ある顧客が別の顧客の注文情報を閲覧できる状態になっていたということです。
今回流出が確認されたのは、2025年3月2日から2026年4月11日までの間に行われた注文です。
SafePalは5月上旬、この問題と一致する報告を受け取りましたが、当初は単発の事案として扱っていました。その後、正式なセキュリティ調査に格上げし、追加の保護策を導入しています。
ある顧客はX上で、5月にSafePalの担当者を名乗る人物から、不審なメールと手紙、そして電話を受け取ったと投稿しています。なりすましの人物は、最近購入したハードウェアウォレットにセキュリティ上の問題があると警告し、修正のためとしてリンクをクリックするよう顧客に指示しました。この顧客がSafePalに問い合わせたところ、そうした連絡は同社からのものではないと告げられたということです。
今回のデータ流出とこのフィッシング未遂事件との間に確認された関連性はないものの、事件の発生時期や、なりすまし犯が把握していた情報は、SafePalが流出したとする情報と重なっています。
SafePalは、シードフレーズ、秘密鍵、ウォレットのパスワード、銀行口座情報、支払いカード番号、政府発行の身分証明書番号については流出していないことを確認しています。
同社は「今回の事案そのものによってSafePalウォレットや資金へのアクセスが侵害されたことを示す証拠は見つかっていません」と述べています。
「しかしながら、影響を受けた注文情報が標的型フィッシングやなりすましに悪用される可能性があるため、お客様には十分にご注意いただくことを強くお勧めします」としています。
SafePalは8月16日、影響を受けた顧客一人ひとりに対し、[email protected]から「[Important] Your SafePal Order Information Has Been Affected」という件名のメールを個別に送信しました。
同社はその後、この欠陥を修正し、外部のセキュリティ会社を招いて事案の調査を実施したほか、個人の注文データの保持期間を90日間に短縮しました。また、今回の事案に関連するフィッシングサイトや不正リンクを30件以上削除しており、新たなものがないか引き続き監視を続けています。
SafePalは「注文情報が影響を受けたという理由だけで、資産を移動する必要はありません。ただし、不審なメッセージ、ウェブサイト、電話、手紙などに応じてすでにシードフレーズや秘密鍵を共有・入力してしまった場合は、そのウォレットは侵害されたものとして扱ってください」と付け加えています。
脅威アクターがSafePal侵害によるデータの保有を主張
DarkWebInformerによると、あるサイバー犯罪フォーラム上で脅威アクターがデータを販売しており、これはSafePalの情報漏洩に由来するものだと主張しています。この出品情報では、SafePalが公表したものと同じ注文期間と顧客数(39,798人)が挙げられています。
この脅威アクターは、購入希望者がデータを買い取る前にSafePalの確認ツールを使って照合できるよう、注文IDと配送先の国を提供すると申し出ており、さらに「値切り交渉には興味がない。適正な価格を提示できないなら連絡してくるな」と付け加えています。
本記事執筆時点では、販売されているとされるデータが本物であるという確証は得られていません。
SafePalは「不審な接触やなりすましには十分ご注意ください。電話、郵送、あるいは対面を問わず、SafePalでの購入に言及する予期しない連絡やハードウェアの配達は、疑わしいものとして扱ってください」と警告しています。
翻訳元: https://www.helpnetsecurity.com/2026/08/17/safepal-data-breach-customer-order-information/
