ブロックチェーンセキュリティ企業のLedgerは、同社のEC決済パートナーであるGlobal-eで発生した侵害により顧客情報にアクセスされたとし、このプラットフォームを利用する他ブランドも影響を受けている可能性があると警告している。
影響を受けた顧客数は確認されていないが、Ledgerによれば、基本的な個人情報（氏名および連絡先データ）が露出し、製品や価格を含む注文詳細も漏えいしたという。
LedgerとGlobal-eの双方は、金融データや暗号資産への影響はなく、パスワードや24語のLedgerリカバリーフレーズなどの情報も影響を受けていないとしている。
Ledgerが顧客が現地通貨で製品を購入できるように利用しているGlobal-eは、1月5日から影響を受けた顧客にメールを送信し、注文の履行に使用しないため、政府発行IDなどの機微情報は保存していないと伝えた。
ただし同社は、Ledgerの顧客に対し、フィッシング攻撃の可能性に注意するよう警告した。
Global-eはファクトシートで次のように述べている。「本件により不適切にアクセスされたのは限定的な連絡先情報のみですが、念のため、オンライン注文に言及する不審または心当たりのない連絡（メール、電話、SMS、インスタントメッセージを含む）には引き続き注意し、不審なリンクをクリックしないようお願いします。
「このような不審な連絡は、当社が支援するオンラインブランドのいずれか、またはGlobal-eになりすまそうとする可能性があります。しかし、当社も各ブランドも、SMSや電話でお客様の情報提供を求めて連絡することは決してありません。フィッシングの試みだと疑われる場合は、スパムとして報告し、送信者をブロックしてください。」
詐欺を追跡するプロのNanoBaiterは、サイバー犯罪者がすでにこの侵害を悪用している初期の例をソーシャルメディアで共有した。
「E-GlobalのKatie」から来たとされるそのメールは宛名が「Ledger User」となっており、最近のアップデートがLedgerデバイスのセキュリティをどのように改善するかについて詳しく知るよう促すリンクが含まれている。
影響を受ける可能性のある顧客には、公式通知は[email protected]から送られており、受け取ったリンクをクリックする前にこのアドレスと一致しているか確認するよう警告された。
Ledgerもまた、物理的な荷物や、いわゆる交換用Ledgerデバイスが自宅に届いた場合は極めて疑うべきだと顧客に警告した。
同社は次のように述べた。「Ledgerが物理的な品物を送付したり、QRコードのスキャン、ウェブサイトの訪問、24語のリカバリーフレーズの共有を求めたりすることは決してありません。
「いかなる指示にも従わず、何もスキャンせず、リカバリーフレーズは絶対に共有しないでください。写真を撮り、Ledgerの公式サポート窓口を通じてインシデントを報告してください。
「デバイスを受け取って不安がある場合は、Ledger WalletでLedger Genuine Checkを実行して検証できます。これはデバイスが正規で改ざんされていないかを確認するものです。リカバリーフレーズを共有していない限り、資産は安全です。」
フランスに拠点を置くLedgerは、電子ウォレットやバックアップソリューションから、ハードウェアウォレットや取引セキュリティのための署名デバイスといった物理デバイスまで、幅広いブロックチェーン関連製品を提供している。
顧客が侵害された署名デバイスを連携してしまうと、犯罪者によりアカウントやウォレットが乗っ取られる可能性がある。
続報は？
執筆時点では、Global-eへの攻撃により自社顧客が影響を受けたことを認めて名乗り出た企業はLedgerのみである。
ただし、侵害に関する同社自身のファクトシートでは、他ブランドも巻き込まれた可能性が示唆されている。
同社は「顧客データが影響を受けたのはLedgerだけではありません」と述べた。「不正な第三者が、複数ブランドの購入者注文データを含むGlobal-eのクラウドベース情報システムにアクセスしました。
「Ledgerはデータセキュリティを重視しており、Global-eからセキュリティインシデントの通知を受けた後、LedgerはGlobal-eと協力して、影響を受けたLedgerユーザーに関連情報を通知する支援を行いました。」
Global-eは他の顧客企業も関与していることに直接言及しなかったが、影響を受けた顧客へのメールでは、この攻撃は「最近、同社のウェブストアで購入した1つ以上のブランド」に関するものだとしている。
同社はウェブサイト上で、世界200以上の市場で1,000を超えるブランドにサービスを提供していると主張している。
より著名な顧客としては、高級ファッションブランドのBurberry、Hugo Boss、Ralph Laurenのほか、Netflix、M&S、Adidas、ウィンブルドン選手権、Disney Storeなどが挙げられている。
The RegisterはGlobal-eに追加情報を求めて連絡したが、同社はファクトシートに含まれている以上の情報は提供しなかった。®
翻訳元: https://go.theregister.com/feed/www.theregister.com/2026/01/06/ledger_globale_breach/
