SafePalが約4万人分の顧客データ流出後、フィッシングリスクを警告

暗号資産ウォレット提供企業SafePalの注文追跡システムにセキュリティ上の欠陥が見つかり、外部からの不正アクセスを許してしまったことで、約4万人の顧客の個人情報および注文情報が流出しました。

SafePalによると、顧客の注文情報に連携しているプラグインに認可の不備があり、特定の条件下で他の顧客の情報に第三者がアクセスできる状態になっていたとのことです。今回の影響を受けたのは、2025年3月2日から2026年4月11日の間に注文を行った約39,798人の顧客です。 

流出した情報には、氏名、メールアドレス、配送先住所、電話番号、購入内容の詳細が含まれています。

同社は、シードフレーズ、秘密鍵、ウォレットのパスワード、銀行口座情報、支払いカード番号、政府発行の身分証明書番号については流出していないと説明しています。また、今回の事案によって顧客のウォレットや暗号資産そのものが直接侵害された証拠も確認されていないとしています。

流出した注文データによりフィッシングリスクが上昇

影響を受けた顧客にとって、目下最大の脅威はソーシャルエンジニアリングです。

SafePalは、攻撃者が流出した情報を悪用し、巧妙な電話、メール、ショートメッセージ、郵便、返金オファー、ファームウェア更新を装った要求、悪意あるウェブサイト、偽のカスタマーサポートを装った連絡などを仕掛けてくる可能性があると警告しています。

同社は8月16日、影響を受けた顧客にメールで通知を行いました。

注文情報が流出したという理由だけで、顧客が暗号資産を移動させる必要はないと同社は付け加えています。ただし、すでに不審なウェブサイトにシードフレーズや秘密鍵を入力してしまった、あるいはSafePalの担当者を名乗る相手にそれらを共有してしまったという顧客については、そのウォレットは侵害されたものとみなすべきだとしています。

該当する顧客は、信頼できるSafePalデバイスまたは同社公式アプリケーションを使って新しいウォレットを作成し、残っている資産を移動させるべきだとSafePalは助言しています。

SafePal、事案を受けセキュリティを強化

SafePalは、認可の不備を発見後に修正し、追加のセキュリティ対策を導入したと述べています。さらに、独立した第三者のセキュリティ企業と連携し、今回の是正措置の検証と、注文処理システム全体に対するより広範なレビューを実施する予定です。

また、影響を受けた注文処理環境における個人情報の保持期間を、法的要件を条件としつつ90日間に短縮したほか、影響を受けた顧客向けの専用サポート窓口を新設しました。

配送業務についても、フルフィルメントパートナーを含め、既に連絡を取り、流出の影響がそれらのシステムにまで及んでいないかを確認しています。

また、SafePalはこれまでに、詐欺行為に関連する30件以上の不正なウェブサイトおよびフィッシングリンクを特定し、閉鎖したと述べており、新たな悪意あるドメインについても引き続き監視を続けています。

影響を受けた顧客は、SafePalでの購入に言及する予期しない連絡について、疑ってかかるべきです。SafePalは、電話、メール、その他いかなる連絡手段であっても、シードフレーズ、秘密鍵、ウォレットのパスワードを尋ねることは決してないと強調しています。

第三者によるセキュリティレビューおよびフィッシング監視の取り組みが進むにつれ、今後も続報が公開される予定です。

その他のニュース: AIセキュリティの不備、実際に悪用された脆弱性、そして大規模なデータ侵害が、今週のサイバーセキュリティ脅威を象徴する内容となりました。