ShipMonkのデータ侵害、Trezor顧客さらに67,000人分の個人情報が流出

Trezorは、配送業務を委託しているShipMonkで発生したデータ侵害により、個人情報および注文情報が流出した 米国顧客が新たに約67,000人確認されたことを明らかにしました。これにより、8月に最初に報告されたインシデントの範囲が大幅に拡大することになります。

MasterCoding Skills

今回新たに特定されたデータは、2019年11月から2021年8月まで続いていたShipMonkとの以前の提携期間中に処理されたTrezorの注文に関するものです。ShipMonkは9月2日、今回の侵害にこの過去の注文データが含まれていたことをTrezorに通知しました。

流出した記録には、顧客の氏名、メールアドレス、電話番号、配送先住所、注文番号が含まれています。Trezorは影響を受けた顧客に対し、メールで直接通知を行いました。

同社の公式メールアドレス([email protected])からの通知を受け取っていない顧客については、今回の侵害拡大による影響は受けていないとみられます。

ShipMonkのデータ侵害

Trezorによると、以前のビジネス関係で得た顧客データが削除されたことについて、ShipMonkから繰り返し書面での保証を受けていたとしています。

これらの保証は、契約上の義務、Trezorのデータ保持ポリシー、そして両社間での過去のやり取りに基づいて提供されていたとされています。

同社は、こうした過去の保証にもかかわらず、当該記録がShipMonkのシステム内に残存していたことが判明し、失望していると表明しました。

今回の件は、サードパーティによるデータライフサイクル管理、特にサービスプロバイダーが顧客関係終了後にアーカイブ・バックアップ・運用データを確実に安全に削除できているかどうかについて、懸念を投げかけるものです。

今回新たに公表された67,000件の記録は、8月13日に公表された最初の侵害通知とは別のものです。最初の通知では、ShipMonkのシステムへの不正アクセスによりTrezor顧客11,742人が影響を受け、氏名、電話番号、メールアドレス、配送先住所が完全に流出したことが報告されていました。

さらに1,947人の顧客については、氏名、居住都市、メールアドレスが部分的に流出する被害を受けています。

Trezorは、自社のシステム自体が侵害されたわけではなく、ハードウェアウォレット端末は引き続き安全であると強調しています。しかし、盗まれた個人情報は、極めて説得力の高いソーシャルエンジニアリング攻撃に悪用される可能性があります。

脅威アクターは、注文の詳細情報や配送先住所を利用して、Trezorサポート、暗号資産取引所、銀行、配送業者になりすます可能性があります。

想定される攻撃としては、フィッシングメール、詐欺的なサポート電話、SMSメッセージ、郵送による手紙、そして暗号資産ウォレットのバックアップフレーズを盗み取ることを目的とした偽の復元手続きなどが挙げられます。

さらに、今回の侵害では、身元が特定可能な個人がハードウェアウォレットの購入履歴や自宅の配送先住所と結び付けられているため、物理的なセキュリティ上の懸念も生じています。犯罪者はこの情報を利用して、暗号資産保有者と思われる人物のプロファイリングを行ったり、恐喝や窃盗の標的にしたりする可能性があります。

Securityawareness training

Trezorは顧客に対し、緊急の対応や個人情報の提供を求める不審な連絡には注意するよう呼びかけています。ユーザーはTrezorの公式チャネルを通じてメッセージを確認する必要があり、ウォレットのバックアップ、リカバリーシード、秘密鍵をいかなるウェブサイト、サポート担当者、第三者にも決して開示してはなりません。

同社はまた、プライバシーに配慮した購入方法として、専用のメールアドレスを使用すること、可能な場合は暗号資産で決済すること、使い捨てのバーチャルカードを利用すること、私書箱での配送を選択することなどを推奨しています。

SOCを最新の状態に保ち、活動中のマルウェアやフィッシングの出現から24時間以内に把握しましょう。 ANYRUNを試して、早期検知でインシデントを未然に防ぎましょう。