暗号資産ハードウェアウォレットメーカーのTrezorは水曜日、サードパーティのメールプロバイダーが侵害され、その侵入者が同社の顧客を狙ってフィッシング攻撃を仕掛けていると警告しました。
影響を受けた顧客のもとには、[email protected]から「重大なセキュリティ警告」を装った偽メールが届いており、Trezorのコールドストレージウォレットで使用されているSTM32マイクロコントローラーに「ハードウェアマイクロコントローラーの脆弱性」があり、シード情報がブルートフォース攻撃によって漏洩する恐れがあると主張する内容になっていました。
同社は現在この侵害について調査中であり、攻撃を止めるために当該ドメインをすでに停止させたとしています。
「当社のサードパーティ製メールプロバイダーが侵害されました。『重大なセキュリティ警告:STM32エントロピー脆弱性』という件名のメールは当社から送信されたものではなく、フィッシングの試みです。リンクは絶対にクリックしないでください」と、Trezorは警告しています。
「当社はドメインをすでに停止させており、ハッカーがどのようにして当社の正規ドメインへのアクセス権を得たのかを含め、現在状況を調査中です」
Trezorはまた8月にも、配送・物流業務を担う委託先のShipMonkがハッキングされ、氏名、配送先住所、メールアドレス、電話番号などの顧客注文データが盗まれたとして、データ漏洩を公表していました。
同社は当初、この事案の影響を受けた顧客は約14,000人としていましたが、金曜日に発表した更新情報では、その後の調査によってさらに米国の顧客67,000人が影響を受けていたことが判明し、合計で81,000人に上ると警告しています。
Trezorの説明によると、今回のデータ漏洩は、2026年5月10日から8月8日までの間に注文を行ったブラジル、コロンビア、イタリア、ポルトガル、スウェーデン、英国の顧客にも影響が及んでいます。ShipMonkのシステムがどのように侵害されたかについては明らかにされていませんが、BleepingComputerが確認した漏洩通知メールによれば、攻撃者はMetabase分析プラットフォームの脆弱性を悪用したとされています。
8月上旬、Metabaseは、脅威アクターが深刻なSQLインジェクションのゼロデイ脆弱性を悪用し、顧客の環境に侵入して管理者権限を取得したうえでデータを窃取したと発表しています。
BleepingComputerはさらに、この漏洩の後、ShipMonkが恐喝グループShinyHuntersから脅迫メールを受け取っていたことも把握しています。
2024年1月には、Trezorのサードパーティ製サポートチケットポータルが侵害され、攻撃者が約66,000人分のユーザーデータ(氏名、ユーザー名、メールアドレスなど)にアクセスしたとして、別のデータ漏洩を公表していました。
