Trezorは、サードパーティの配送業者であるShipMonkで発生したデータ侵害により、米国の顧客約6万7000人分の個人情報が新たに流出したことを明らかにしました。これにより、8月に最初に報告された事案の被害範囲が大幅に拡大したことになります。
新たに判明した記録は、TrezorとShipMonkが以前提携していた2019年11月から2021年8月にかけて処理された注文に関連するものです。
流出したデータには顧客の氏名、メールアドレス、電話番号、配送先住所、注文番号が含まれており、標的型フィッシングや電話詐欺、不正な郵便物、さらには身辺の物理的な安全に対する脅威のリスクを高めています。
Trezorによると、ShipMonkは9月2日、今回の侵害には以前削除されたと考えられていた古い注文データも含まれていたことを通知してきたといいます。
Trezorによれば、このハードウェアウォレットメーカーは、契約上の義務やデータ保持ポリシー、これまでのやり取りに基づき、過去の顧客情報がすでに削除されていることについて、ShipMonkから繰り返し書面での保証を得ていたとしています。
しかし実際にはそのデータはShipMonkのシステム内に残存しており、その後、不正なアクセス者によって取得されてしまいました。
Trezorは9月4日に公開した更新情報の中で、「今回流出したデータは、米国の顧客さらに約6万7000人に影響を及ぼしています」と述べています。同社は影響を受けたすべての顧客に対し、直接メールで通知を行ったとしています。[email protected]から事案に関する通知メールを受け取っていない顧客については、影響を受けていないと考えられるとのことです。
今回の開示により、当初は直近の注文に限定された小規模な侵害だとされていた事案が、数年分に及ぶ顧客記録を巻き込んだ、サードパーティによる深刻なデータ保持の失敗として位置づけ直されることになりました。
Trezorは当初、8月10日に物流業者側が顧客の注文データを含むシステムへの不正アクセスを報告したことを受け、8月13日にShipMonkの事案を公表していました。
当初の調査では、氏名・メールアドレス・電話番号・配送先住所の全項目が流出した顧客は1万1742人と特定されていました。また、氏名・市区町村名・メールアドレスの一部項目のみが流出した顧客は1947人に上るとされていました。
当時Trezorは、被害規模が限定的だった理由について、配送完了後や返品・返金・交換手続きの完了後に注文関連の顧客データを削除または匿名化することをフルフィルメントパートナーに義務付ける、自社の90日間データ保存ポリシーによるものだと説明していました。
その後Trezorは、一部の限定的に流出した記録が古い注文と紐づいている可能性があることを認めていました。そして今回の最新の更新情報により、削除の保証があったにもかかわらず、2019年から2021年にかけてのフルフィルメント期間の大規模なデータセットが実際には保持されていたことが確認された形です。
Trezorは、自社のシステムや製品、ハードウェアウォレット自体は侵害を受けていないと強調しています。ウォレットのバックアップ、秘密鍵、デバイスのセキュリティ、および顧客の荷物の中身については、今回のShipMonkの侵害では流出していません。
とはいえ、身元情報・連絡先情報・物理的な住所情報が組み合わさって流出したことは、暗号資産ハードウェアウォレットの顧客にとって特に深刻な意味を持ちます。
脅威アクターはこれらの記録を悪用し、Trezorや暗号資産取引所、銀行、配送業者、あるいは法執行機関になりすました、説得力のあるメッセージを作成する可能性があります。
想定される手口としては、偽のデバイスセキュリティ警告、偽のファームウェア更新通知、ウォレットバックアップの「確認」要求、不正な配送通知、さらには顧客の資産が危険にさらされていると偽って伝える電話などが考えられます。
Trezorは影響を受けた利用者に対し、身に覚えのない連絡には注意を払い、ウォレットのバックアップを絶対にオンラインで入力したり、他人に開示したりしないよう呼びかけています。
顧客は、予期しないメッセージに記載されたリンクや電話番号を使うのではなく、Trezorの公式ウェブサイトや公式ソーシャルメディアアカウント、サポートポータルでセキュリティ通知を確認するべきだとしています。
今回の事案は、暗号資産関連企業がサードパーティの物流業者に依存し、かつデータ保持管理や削除に関する約束が第三者によって独立して検証されていない場合に生じるセキュリティリスクを浮き彫りにしています。
不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを、セキュリティチームに提供しましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/shipmonk-data-breach-2/
