暗号資産ハードウェアウォレットメーカーのTrezorは、8月に発生した配送・物流業者ShipMonkでのデータ漏洩の影響が、新たに米国の顧客67,000人にも及んでいることを明らかにしました。
Trezorが8月13日に最初に公表した時点では、氏名、配送先住所、メールアドレス、電話番号など約14,000人分の顧客データに攻撃者がアクセスしたとされていましたが、今回の拡大により、影響を受けた顧客数は合計で81,000人に達しました。
同社が当時説明した内容によると、この事案ではブラジル、コロンビア、イタリア、ポルトガル、スウェーデン、英国の顧客のうち、2026年5月10日から8月8日の間に注文を受け取った顧客も影響を受けていました。
金曜日、Trezorは続報を公表し、ShipMonkがTrezorとの契約およびデータポリシーで定められた義務に反して、漏洩したデータをシステムから削除していなかったため、被害の範囲がさらに拡大したことを認めました。
「2019年11月から2021年8月の間に注文した米国の顧客、さらに67,000人が影響を受けており、氏名、メールアドレス、電話番号、配送先住所、注文番号といった詳細な情報が漏洩しました」とTrezorは述べています。
「私たちはShipMonkとの取引関係を通じて、契約内容やデータポリシー、過去のやり取りに沿って、データが確実に削除されるよう繰り返し要請し、その旨の書面による確認も受け取っていました。それにもかかわらず、実際には彼らのシステム上でデータが削除されていなかったことに、私たちは大きな失望を感じています」
Trezorはさらに、今回の漏洩は自社の業務やサービスには影響を及ぼしておらず、自社のシステムが侵害されたわけでもないこと、そしてすべてのTrezorデバイスは安全であることを強調しました。
また、影響を受けた顧客に対しては、個人情報を求めるメッセージに注意するよう警告しています。フィッシング攻撃の標的にされる恐れがあるためです。
「フィッシング詐欺のリスクが高まっている点にご注意ください。漏洩した情報は、詐欺メールや不審な電話・郵便物などに悪用される可能性があり、場合によっては影響を受けた個人が物理的なセキュリティ上のリスクにさらされる恐れもあります」とTrezorは述べています。
Metabaseを狙った攻撃キャンペーン、ShinyHuntersの恐喝グループとの関連が判明
ShipMonkのシステムがどのように侵害されたのかについて、同社はまだ詳細を明らかにしていませんが、BleepingComputerが確認した影響を受けた顧客宛ての漏洩通知メールによると、攻撃者はサードパーティの分析プラットフォームMetabaseの脆弱性を悪用したとされています。
BleepingComputerが以前報じたとおり、Metabaseは、脅威アクターが深刻なSQLインジェクションのゼロデイ脆弱性を悪用して顧客インスタンスに侵入し、侵害したインスタンスへの管理者権限を取得したうえでデータ窃取攻撃を行っていたことを明らかにしています。
BleepingComputerはまた、ShipMonkが恐喝グループShinyHuntersから脅迫メールを受け取っていたことも把握しています。
このMetabaseを狙った攻撃キャンペーンで影響を受けた企業のリストには、オンラインフォーム作成プラットフォームのTallyやノートパソコンメーカーのFrameworkも含まれており、両社もインスタンスが乗っ取られたことによるデータ漏洩について顧客に通知しています。
2024年1月には、Trezorのサードパーティ製サポートチケットポータルが脅威アクターによって侵害され、約66,000人のユーザーの氏名、ユーザー名、メールアドレスなどのデータにアクセスされる別のデータ漏洩もTrezorから公表されていました。
この際に窃取されたデータは、その後、受信者の24単語のウォレット復元シードを盗み出そうとするフィッシング攻撃に悪用されました。
