暗号資産ウォレットメーカーのTrezorは、主要な配送パートナーで発生した侵害の影響が、当初の想定より6万7,000人多い顧客に及んでいたことを明らかにしました。
9月4日に投稿されたアップデートの中で、同社はShipMonkから盗まれたデータには2019年11月から2021年8月までの期間の注文データも含まれていたとの連絡を受けたと述べています。
8月13日に最初の侵害通知が出された際、同社は2026年5月10日から8月8日までのデータのみが影響を受けたと説明していました。
今回明らかになった被害者数は、当初の推定から479%増加したことになります。
Trezorに関する関連記事: 大規模フィッシングキャンペーンがTrezorの暗号資産ウォレットを標的に
今回のインシデントでは、顧客名、メールアドレス、電話番号、配送先住所、注文番号など詳細な情報が流出しました。
「フィッシングのリスクが高まっていることにご注意ください」と同社は警告しています。「流出した情報は詐欺メール、不正な電話や郵便に悪用される可能性があり、被害者が物理的なセキュリティリスクにさらされる恐れもあります」
Trezorの顧客は、これまでも脅威アクターに繰り返し狙われてきました。2022年には、同社の重大なデータ漏えいを警告するメールが実は顧客をだましてウォレットの復元コードを聞き出そうとする詐欺だったことが判明し、その旨を説明せざるを得ない事態となっています。
サプライチェーンの不手際
Trezorは今回の侵害の責任は物流パートナーにあると明確に主張しており、データ最小化ポリシーが守られていなかったと訴えています。
「ShipMonkとの取引期間を通じて、私たちは契約内容やデータポリシー、これまでのやり取りに沿って、データを削除したことを確認する書面での保証を繰り返し求め、実際に受け取ってきました」と同社はX(旧Twitter)への投稿で述べています。「この確認を受け取っていたにもかかわらず、実際には同社のシステム内でデータが削除されていなかったことに、私たちは非常に落胆しています」
Trezorは、同社に対して法的措置を取るかどうかはまだ検討中だとしています。
「何が起きたのか、どのデータが影響を受けたのかを正確に把握するため、ShipMonkと直接連絡を取り合っています。ShipMonkはインシデント後、影響を受けたシステムを保護し、セキュリティを強化しました」と同社は続けています。
「また、当社のショップでは匿名配送の導入に向けた取り組みも加速させており、将来的にはシステム外に出る個人情報をより少なくできるようにします。それまでの間も、私書箱や宅配ロッカー、受け取り拠点などを利用することで、共有する個人情報を最小限に抑えていただけます」
翻訳元: https://www.infosecurity-magazine.com/news/trezor-supply-chain-breach-impacts/
